Una empresa desplegará una aplicación web interna en AWS que debe ser accesible solo desde la oficina de la empresa. La aplicación debe descargar parches de seguridad de internet. La empresa tiene una VPC y una AWS Site-to-Site VPN a la oficina. ¿Qué diseño cumple estos requisitos de forma segura?

La opción correcta cumple todos los requisitos. La aplicación web en subredes privadas con un ALB interno garantiza que no sea directamente accesible desde internet. El NAT Gateway en subredes públicas permite que las instancias EC2 descarguen parches de seguridad de internet (tráfico saliente) sin exponerse directamente. El Internet Gateway es necesario para que el NAT Gateway funcione. Finalmente, configurar el security group del ALB para permitir el tráfico solo desde el CIDR de la oficina asegura que la aplicación sea accesible exclusivamente desde la red de la empresa a través de la VPN. Las opciones incorrectas fallan en seguridad o accesibilidad. La primera opción expone la aplicación a internet (ALB público, security group 0.0.0.0/0). La tercera opción usa un ALB interno pero coloca los NAT Gateways en subredes privadas, lo cual es una configuración incorrecta, y el security group de salida no controla el acceso entrante. La cuarta opción utiliza un ALB público, lo que no cumple el requisito de accesibilidad solo desde la oficina.