Eine kritische Anwendung läuft auf EC2-Instances hinter einem Application Load Balancer und muss über Port 443 immer vom öffentlichen Internet aus erreichbar sein. Nach einer fehlerhaften Änderung an einer EC2-Sicherheitsgruppe kam es zu einem Ausfall. Der Netzwerktechniker benötigt eine automatisierte Methode, um die Konnektivität vom Internet zu den EC2-Instances bei jeder Änderung der Sicherheitsgruppe zu überprüfen und bei Beeinträchtigung der Konnektivität benachrichtigt zu werden. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung verwendet VPC Reachability Analyzer, um die Konnektivität vom Internet-Gateway (repräsentiert das öffentliche Internet) zu den EC2-Instances zu überprüfen. Dies simuliert den tatsächlichen Pfad, den der Traffic nehmen würde. Die Integration mit EventBridge (bei Sicherheitsgruppenänderungen), Lambda (zum Ausführen des Analyzers und Veröffentlichen von Ergebnissen) und SNS (für Benachrichtigungen) bietet eine automatisierte und proaktive Überwachung. Die erste und zweite Option mit VPC Flow Logs sind reaktiv. Flow Logs erfassen nur Traffic, der bereits versucht hat, die Instance zu erreichen, und können nicht proaktiv vor einer Änderung warnen. Außerdem würden sie nicht den gesamten Pfad vom Internet-Gateway bis zur Instance überprüfen, sondern nur den Traffic an der ENI. Die dritte Option ist falsch, weil sie die Sicherheitsgruppe als Quelle für den Reachability Analyzer angibt. Der Reachability Analyzer muss den gesamten Pfad vom Internet zum Ziel überprüfen, wofür das Internet-Gateway als Quelle dienen sollte, nicht die Sicherheitsgruppe selbst.