Une entreprise disposant de plusieurs comptes et VPC connectés via une Transit Gateway a besoin d'une inspection approfondie des paquets (DPI) pour tout trafic quittant la limite d'un VPC. Tout le trafic inspecté et les actions DPI doivent être journalisés de manière centralisée dans un compte de journalisation. Quelle conception répond à ces besoins tout en minimisant la charge administrative ?

La conception correcte utilise un VPC réseau central avec un AWS Gateway Load Balancer (GWLB) et des appliances de pare-feu de nouvelle génération. Le GWLB est spécifiquement conçu pour insérer des appliances de sécurité tierces de manière transparente dans le chemin du trafic, permettant une inspection approfondie des paquets (DPI) pour tout le trafic sortant des VPC connectés via la Transit Gateway. La centralisation des pare-feu et de la journalisation (vers un compartiment S3 dans un compte de journalisation central) minimise la charge administrative. L'option avec l'Application Load Balancer est incorrecte car un ALB opère au niveau 7 et ne peut pas intercepter et rediriger tout le trafic réseau de manière transparente comme le GWLB. L'utilisation d'ACL réseau et de groupes de sécurité ne fournit pas de DPI et ne répond pas à l'exigence d'inspection approfondie. L'option avec le Network Load Balancer et le VPC Traffic Mirroring est incorrecte car le Traffic Mirroring est une solution d'observation et non d'inspection en ligne qui modifie le chemin du trafic. De plus, un NLB n'est pas conçu pour insérer des appliances de sécurité de manière transparente comme le GWLB.