Después de un evento DDoS contra un Application Load Balancer (ALB) público, una empresa colocó Amazon CloudFront delante del ALB. Sin embargo, algunos clientes aún acceden al ALB directamente, y las instancias de Amazon EC2 continúan sirviendo ese tráfico. ¿Qué combinación de acciones garantiza que las instancias EC2 solo reciban solicitudes que provengan de CloudFront? (Elija dos)

Para asegurar que las instancias EC2 solo reciban tráfico de CloudFront, se debe establecer un mecanismo de verificación. La opción correcta implica configurar CloudFront para añadir un encabezado HTTP personalizado a todas las solicitudes que envía al ALB. Luego, el ALB debe configurarse para aceptar y reenviar únicamente las solicitudes que contengan ese encabezado específico. Esto crea una "clave" secreta que solo CloudFront conoce y puede presentar, bloqueando cualquier solicitud directa al ALB que no la tenga. Las opciones incorrectas no resuelven el problema. Configurar una política de clave de caché no es relevante para la autenticación de origen. Usar X-Forwarded-For no garantiza que el tráfico provenga de CloudFront, ya que este encabezado solo indica la IP original del cliente y puede ser falsificado. Usar el mismo certificado ACM es para cifrado SSL/TLS, no para controlar el origen del tráfico.