Ein Unternehmen wird eine interne Webanwendung auf AWS bereitstellen, die nur vom Büro des Unternehmens aus zugänglich sein darf. Die Anwendung muss Sicherheitspatches aus dem Internet herunterladen. Das Unternehmen verfügt über eine VPC und ein AWS Site-to-Site VPN zum Büro. Welches Design erfüllt diese Anforderungen sicher?

Diese Option erfüllt alle Anforderungen sicher. Die Webanwendung in privaten Subnetzen hinter einem internen ALB ist nicht direkt aus dem Internet erreichbar. Die Sicherheitsgruppe des ALB, die nur den CIDR-Block des Büros zulässt, stellt sicher, dass nur autorisierte Benutzer über das Site-to-Site VPN auf die Anwendung zugreifen können. NAT-Gateways in öffentlichen Subnetzen ermöglichen den EC2-Instanzen, Sicherheitspatches aus dem Internet herunterzuladen, ohne eingehende Verbindungen zuzulassen. Ein Internet-Gateway ist erforderlich, damit das NAT-Gateway funktioniert. Die erste Option ist unsicher, da die Webanwendung öffentlich zugänglich wäre (öffentlicher ALB, Sicherheitsgruppe 0.0.0.0/0). Die dritte Option platziert NAT-Gateways in privaten Subnetzen, was nicht funktioniert, da sie eine Route zum Internet-Gateway benötigen. Die vierte Option verwendet einen öffentlichen ALB, der die Anwendung dem Internet aussetzen würde, und das ausgehende Ziel der Sicherheitsgruppe ist für eingehenden Zugriff irrelevant.