Un transit gateway envía registros de flujo a un grupo de CloudWatch Logs. Una función Lambda analiza los registros y publica notificaciones de SNS cuando una VPC genera tráfico que el transit gateway descarta. Cada notificación incluye el ID de cuenta, el ID de VPC y los totales de paquetes descartados. Una nueva función Lambda suscrita al tema de SNS debe detener automáticamente el tráfico identificado para que no salga de la VPC de origen aplicando una ACL de red a las subredes de adjuntos del transit gateway en esa VPC. ¿Qué enfoque satisface este requisito?

Para detener el tráfico saliente de una VPC, se debe aplicar una regla de ACL de red de salida. Esta regla debe especificar las direcciones IP de destino del tráfico que se desea bloquear. La función Lambda existente debe extraer las direcciones IP de destino de los registros de flujo descartados y agregarlas a la notificación de SNS. La nueva función Lambda, al recibir esta información, puede crear una regla de denegación de salida en la ACL de red asociada a las subredes de adjuntos del Transit Gateway en la VPC de origen, utilizando las direcciones IP de destino proporcionadas. Las opciones que sugieren usar direcciones IP de origen o reglas de entrada son incorrectas porque el objetivo es bloquear el tráfico saliendo de la VPC, lo cual requiere una regla de salida que actúe sobre el destino del tráfico.