Un ingénieur réseau doit ajouter un AWS Network Firewall pour contrôler le trafic sortant vers Internet dans un environnement existant qui contient cinq VPC. Chaque VPC dispose d'une passerelle Internet, de passerelles NAT, d'ALB publics et d'instances EC2 dans des sous-réseaux privés répartis sur deux zones de disponibilité. L'ingénieur doit être capable d'écrire des règles qui tiennent compte des adresses IP publiques de l'environnement, quelle que soit la direction du trafic, de minimiser les changements en production et d'assurer une haute disponibilité. Quelle combinaison d'étapes l'ingénieur doit-il suivre ? (Choisissez deux.)

La création de nouveaux sous-réseaux dédiés pour Network Firewall dans chaque VPC (et dans chaque AZ) est une bonne pratique pour isoler le pare-feu et minimiser les changements dans l'infrastructure existante, tout en assurant une haute disponibilité. Le déploiement d'un point d'accès Network Firewall par AZ garantit la résilience. La mise à jour des tables de routage des sous-réseaux publics (où se trouvent les NAT Gateways et ALB) est nécessaire pour diriger le trafic sortant vers les points d'accès Network Firewall avant qu'il n'atteigne Internet. Cela permet au pare-feu d'inspecter tout le trafic sortant. L'option de créer un VPC d'inspection centralisé est incorrecte car elle nécessiterait des modifications plus importantes de l'architecture réseau existante, comme la mise en place de Transit Gateway et la modification des routes dans tous les VPC, ce qui n'est pas l'approche la moins intrusive. Déployer le pare-feu dans les sous-réseaux existants n'est pas idéal car cela pourrait interférer avec les ressources existantes. Mettre à jour les tables de routage des sous-réseaux privés n'est pas suffisant car le trafic sortant passe par les NAT Gateways ou les ALB dans les sous-réseaux publics.