Un architecte de solutions crée un VPC avec deux sous-réseaux publics et deux sous-réseaux privés. Un mandat de sécurité d'entreprise exige le lancement de toutes les instances Amazon EC2 dans des sous-réseaux privés. Lorsque l'architecte de solutions lance une instance EC2 qui exécute un serveur web sur les ports 80 et 443 dans un sous-réseau privé, aucun trafic internet externe ne peut atteindre le serveur. Que doit faire l'architecte de solutions pour résoudre ce problème ?

Pour qu'une instance EC2 dans un sous-réseau privé soit accessible depuis Internet, un point d'entrée public est nécessaire. Un Application Load Balancer (ALB) provisionné dans un sous-réseau public peut recevoir le trafic Internet (ports 80 et 443) et le transférer aux instances EC2 du sous-réseau privé via son groupe cible. Le DNS du site web doit pointer vers l'ALB pour que le trafic soit correctement acheminé. L'attachement à un groupe Auto Scaling ne résout pas le problème d'accessibilité externe. Une passerelle NAT permet aux instances privées d'initier des connexions sortantes vers Internet, mais ne permet pas au trafic Internet entrant d'atteindre l'instance. Le groupe de sécurité est essentiel mais ne suffit pas à lui seul si l'instance est dans un sous-réseau privé sans point d'entrée public. De plus, une instance dans un sous-réseau privé n'a pas d'adresse IP publique pour le pointage DNS direct.