Eine dreistufige Webanwendung verfügt über Webserver in einem öffentlichen Subnetz und Anwendungs- und Datenbankserver in privaten Subnetzen. Eine virtuelle Firewall-Appliance eines Drittanbieters vom AWS Marketplace wird in einer Inspektions-VPC bereitgestellt und verfügt über eine IP-Schnittstelle, die Pakete akzeptiert. Ein Lösungsarchitekt muss sicherstellen, dass der gesamte eingehende Datenverkehr von der Appliance überprüft wird, bevor er die Webserver erreicht, und das mit dem geringsten Betriebsaufwand. Welche Lösung erfüllt diese Anforderungen?

Ein Gateway Load Balancer (GWLB) ist ideal für die transparente Weiterleitung des Datenverkehrs an virtuelle Appliances von Drittanbietern. Er arbeitet auf Schicht 3 (Netzwerk) und Schicht 4 (Transport) und kann in einer Inspektions-VPC bereitgestellt werden. Ein Gateway Load Balancer Endpoint (GWLBE) in der Anwendungs-VPC leitet den gesamten eingehenden Datenverkehr zum GWLB in der Inspektions-VPC um, wo die Firewall-Appliance die Pakete inspiziert, bevor sie zu den Webservern gelangen. Dies minimiert den Betriebsaufwand, da der Datenverkehr transparent umgeleitet wird, ohne dass Änderungen an den Anwendungen oder komplexes Routing erforderlich sind. Ein Network Load Balancer (NLB) und ein Application Load Balancer (ALB) sind für die Verteilung des Datenverkehrs auf Backend-Server konzipiert, nicht für die transparente Weiterleitung an Inspektions-Appliances. Ein Transit Gateway ist für die Vernetzung von VPCs gedacht, aber die alleinige Konfiguration des Routings über ein Transit Gateway würde die transparente Integration der Firewall-Appliance erschweren und wäre betrieblich aufwendiger als ein GWLB.