Las instancias EC2 en subredes privadas deben iniciar todas las solicitudes salientes, incluido el tráfico al centro de datos local a través de Direct Connect. Ningún recurso externo debe iniciar conexiones a estas instancias EC2. El "customer gateway" local utiliza un firewall con estado que filtra el tráfico para múltiples VPC, y la empresa prefiere usar una única coincidencia de IP en el firewall para permitir todo el tráfico de EC2. ¿Qué opción cumple los requisitos con la menor sobrecarga operativa?

La opción correcta es implementar un NAT Gateway privado. Este servicio gestionado permite que las instancias de subredes privadas inicien tráfico saliente a la red local a través de Direct Connect, utilizando una única IP de origen para el firewall local. Esto simplifica la configuración del firewall, ya que solo necesita permitir el tráfico desde la IP del NAT Gateway. Un NAT Gateway privado es un servicio gestionado, lo que reduce la sobrecarga operativa en comparación con una instancia NAT autogestionada. Las otras opciones son incorrectas porque: crear una VPN sobre Direct Connect añade complejidad innecesaria y no resuelve el requisito de una única IP de origen; configurar el firewall local para filtrar el tráfico no proporciona una única IP de origen para el tráfico saliente de EC2; y una instancia NAT requiere gestión y mantenimiento, aumentando la sobrecarga operativa.