Un ingeniero de redes debe añadir un AWS Network Firewall para controlar el tráfico saliente a internet en un entorno existente que contiene cinco VPC. Cada VPC tiene un internet gateway, NAT gateways, ALB públicos e instancias EC2 en subredes privadas en dos zonas de disponibilidad. El ingeniero debe poder escribir reglas que consideren las direcciones IP públicas del entorno, independientemente de la dirección del tráfico, minimizar los cambios en producción y garantizar una alta disponibilidad. ¿Qué combinación de pasos debe seguir el ingeniero? (Elija dos).

La opción correcta es crear nuevas subredes en cada VPC e implementar Network Firewall allí. Esto permite un control granular del tráfico saliente por VPC y garantiza alta disponibilidad al tener endpoints en dos AZs. Usar subredes existentes podría causar conflictos de direccionamiento o no cumplir con los requisitos de aislamiento. La segunda opción correcta es actualizar las tablas de ruteo de las subredes públicas que alojan los NAT Gateways y ALBs. Esto es crucial porque el tráfico saliente de las instancias privadas, que utiliza NAT Gateways, y el tráfico de los ALBs, debe ser inspeccionado por Network Firewall antes de llegar a Internet. Las otras opciones son incorrectas porque una VPC de inspección centralizada no es ideal para inspeccionar direcciones IP públicas específicas de cada VPC sin una configuración compleja, y actualizar las tablas de ruteo de subredes privadas no es suficiente, ya que el tráfico saliente pasa por los NAT Gateways en subredes públicas.