Un architecte de solutions conçoit un VPC avec des sous-réseaux publics et privés. Le VPC et les sous-réseaux utilisent des blocs CIDR IPv4. Il y a un sous-réseau public et un sous-réseau privé dans chacune des trois zones de disponibilité (AZ) pour une haute disponibilité. Une passerelle Internet fournit un accès Internet aux sous-réseaux publics. Les sous-réseaux privés nécessitent un accès Internet pour que les instances Amazon EC2 puissent télécharger les mises à jour logicielles. Que doit faire l'architecte de solutions pour permettre l'accès Internet aux sous-réseaux privés ?

La bonne approche pour fournir un accès Internet sortant aux sous-réseaux privés tout en maintenant la haute disponibilité est de créer une passerelle NAT dans chaque zone de disponibilité (AZ) où se trouvent les sous-réseaux privés. Chaque passerelle NAT doit être placée dans le sous-réseau public de son AZ respectif. Ensuite, chaque sous-réseau privé doit avoir une table de routage configurée pour diriger le trafic destiné à Internet (0.0.0.0/0) vers la passerelle NAT de son AZ. Cela garantit que si une AZ tombe en panne, les instances des autres AZ peuvent toujours accéder à Internet via leurs passerelles NAT locales. Les autres options sont incorrectes car : Créer des instances NAT au lieu de passerelles NAT nécessite une gestion et une mise à l'échelle manuelles, ce qui est moins efficace et moins résilient que les passerelles NAT gérées par AWS. Créer une deuxième passerelle Internet n'est pas possible ; un VPC ne peut avoir qu'une seule passerelle Internet. De plus, les passerelles Internet sont destinées aux sous-réseaux publics. Une passerelle Internet à sens unique (egress-only) est utilisée pour IPv6, pas pour IPv4, et ne répondrait pas au besoin d'accès Internet pour les instances IPv4.