Les instances EC2 dans les sous-réseaux privés doivent initier toutes les requêtes sortantes, y compris le trafic vers le centre de données sur site via Direct Connect. Aucune ressource externe ne doit initier de connexions vers ces instances EC2. La passerelle client sur site utilise un pare-feu à états qui filtre le trafic pour plusieurs VPC, et l'entreprise préfère utiliser une seule correspondance d'adresse IP sur le pare-feu pour autoriser tout le trafic EC2. Quelle option répond aux exigences avec le moins de frais opérationnels ?

La passerelle NAT privée (Private NAT Gateway) est la solution la plus appropriée car elle permet aux instances EC2 des sous-réseaux privés d'initier des connexions sortantes vers le réseau sur site via Direct Connect, tout en présentant une seule adresse IP source au pare-feu sur site. Cela réduit considérablement la charge opérationnelle en évitant de devoir configurer de nombreuses règles de pare-feu pour chaque instance EC2. Le pare-feu sur site, étant à états, autorisera le trafic de retour pour les connexions initiées par la passerelle NAT. Les autres options sont moins optimales : Créer une connexion VPN sur Direct Connect ajoute une complexité inutile et n'est pas la méthode la plus efficace pour gérer le trafic sortant des instances privées. Configurer le pare-feu sur site pour filtrer toutes les requêtes du réseau sur site vers les instances EC2 ne répond pas à l'exigence d'une seule correspondance d'adresse IP pour tout le trafic EC2. Déployer une instance NAT est une solution viable mais nécessite plus de gestion opérationnelle (mise à l'échelle, haute disponibilité) qu'une passerelle NAT gérée par AWS.