Un arquitecto de soluciones está diseñando una VPC con subredes públicas y privadas. La VPC y las subredes utilizan bloques CIDR de IPv4. Hay una subred pública y una subred privada en cada una de las tres Zonas de Disponibilidad (AZ) para alta disponibilidad. Un internet gateway proporciona acceso a internet para las subredes públicas. Las subredes privadas requieren acceso a internet para que las instancias de Amazon EC2 puedan descargar actualizaciones de software. ¿Qué debe hacer el arquitecto de soluciones para habilitar el acceso a internet para las subredes privadas?

La opción correcta es crear un NAT Gateway en cada Zona de Disponibilidad (AZ) para asegurar alta disponibilidad y resiliencia. Si un NAT Gateway falla, el tráfico de las subredes privadas en esa AZ puede ser redirigido a un NAT Gateway en otra AZ si se configura adecuadamente, aunque la práctica estándar es tener uno por AZ para evitar latencia y puntos únicos de fallo. Las tablas de ruteo privadas deben dirigir el tráfico saliente (0.0.0.0/0) al NAT Gateway correspondiente. Las NAT Instances son una opción más antigua y menos escalable y gestionada que los NAT Gateways. Un segundo Internet Gateway no es posible; solo puede haber uno por VPC. Un Egress-Only Internet Gateway es para IPv6, no para IPv4, y permite que las instancias inicien conexiones salientes pero no entrantes, lo cual no es el requisito aquí.