Une application s'exécute sur des instances EC2 au sein de sous-réseaux privés d'un VPC. L'application doit pouvoir télécharger des mises à jour logicielles depuis Internet, et la politique de l'entreprise exige que toutes les instances EC2 résident dans des sous-réseaux privés. Que doit faire un administrateur SysOps pour fournir un accès Internet pour les mises à jour sortantes tout en gardant les instances privées ?

Pour permettre aux instances EC2 des sous-réseaux privés d'accéder à Internet pour les mises à jour tout en restant privées, une passerelle NAT (NAT Gateway) est la solution appropriée. La passerelle NAT doit être déployée dans un sous-réseau public car elle nécessite une adresse IP publique et une route vers une passerelle Internet pour fonctionner. Ensuite, une route doit être ajoutée à la table de routage des sous-réseaux privés, dirigeant le trafic Internet (0.0.0.0/0) vers la passerelle NAT. Les autres options sont incorrectes : Attacher une passerelle Internet directement aux sous-réseaux privés exposerait les instances à Internet, ce qui contredit la politique de l'entreprise. Créer une passerelle NAT dans un sous-réseau privé ne fonctionnerait pas, car la passerelle NAT elle-même a besoin d'un accès Internet via un sous-réseau public et une passerelle Internet. Attacher deux passerelles Internet est inutile et ne résout pas le problème d'accès privé.