Una aplicación crítica se ejecuta en instancias EC2 detrás de un Application Load Balancer y siempre debe ser accesible en el puerto 443 desde internet público. Se produjo una interrupción después de un cambio incorrecto en un security group de EC2. El ingeniero de red necesita una forma automatizada de verificar la conectividad desde internet a las instancias EC2 cada vez que cambia el security group y de notificar cuando la conectividad se ve afectada. ¿Qué solución satisface estos requisitos?

La opción correcta utiliza VPC Reachability Analyzer, que es una herramienta diseñada para verificar la conectividad de red entre dos puntos en su VPC, incluyendo la conectividad desde internet (representado por el Internet Gateway) hasta las instancias EC2. Al automatizar su ejecución con Lambda y EventBridge tras cada cambio en el security group, se asegura una verificación proactiva y una notificación inmediata si la conectividad se interrumpe. Las opciones que usan VPC Flow Logs no son ideales porque los Flow Logs registran el tráfico que ya ha ocurrido, no verifican proactivamente la conectividad antes de que una interrupción afecte a los usuarios. Además, analizar el tráfico REJECT o todo el tráfico para inferir una interrupción es menos directo y más complejo que usar una herramienta de análisis de conectividad dedicada. La opción incorrecta de Reachability Analyzer que especifica el security group como origen es incorrecta porque el security group no es un punto de origen de conectividad en sí mismo; la conectividad se origina desde el Internet Gateway hacia las instancias.