Eine Anwendung läuft auf EC2-Instances in privaten Subnetzen einer VPC. Die Anwendung muss Software-Updates aus dem Internet herunterladen können, und die Unternehmensrichtlinie schreibt vor, dass alle EC2-Instances in privaten Subnetzen liegen. Was sollte ein SysOps-Administrator tun, um Internetzugang für ausgehende Updates bereitzustellen, während die Instances privat bleiben?

Die korrekte Option ist, ein NAT-Gateway in einem öffentlichen Subnetz zu erstellen und eine Route in der Routing-Tabelle der privaten Subnetze hinzuzufügen, die den Internet-gebundenen Datenverkehr an das NAT-Gateway leitet. Dies ermöglicht den EC2-Instances in privaten Subnetzen, ausgehende Verbindungen zum Internet herzustellen, um Updates herunterzuladen, während sie für eingehende Verbindungen aus dem Internet unzugänglich bleiben. Ein Internet-Gateway allein würde den privaten Instances direkten Internetzugang ermöglichen, was gegen die Richtlinie verstößt. Ein NAT-Gateway in einem privaten Subnetz wäre nicht in der Lage, Internetzugang bereitzustellen, da es selbst keinen direkten Weg zum Internet hätte. Zwei Internet-Gateways sind nicht notwendig und würden das Problem nicht lösen, da private Instances dennoch direkten Internetzugang hätten.