Une entreprise exécute une application web sur des instances Amazon EC2 dans plusieurs zones de disponibilité. Les instances EC2 se trouvent dans des sous-réseaux privés. Un architecte de solutions a créé un Application Load Balancer (ALB) accessible sur Internet et a spécifié les instances EC2 comme groupe cible, mais le trafic Internet n'atteint pas les instances. Comment l'architecte doit-il reconfigurer l'architecture pour résoudre ce problème ?

La bonne réponse est de créer des sous-réseaux publics dans chaque zone de disponibilité et d'y associer l'ALB. Un ALB orienté Internet doit être déployé dans des sous-réseaux publics pour recevoir le trafic Internet. Les instances EC2 peuvent rester dans des sous-réseaux privés, et l'ALB transférera le trafic vers elles. Les tables de routage des sous-réseaux publics doivent inclure une route vers les sous-réseaux privés pour que l'ALB puisse atteindre les instances. Remplacer l'ALB par un NLB ne résout pas le problème fondamental de l'ALB déployé dans des sous-réseaux privés. Déplacer les instances EC2 vers des sous-réseaux publics n'est pas une bonne pratique de sécurité et n'est pas nécessaire car l'ALB peut acheminer le trafic vers des sous-réseaux privés. Mettre à jour les tables de routage des sous-réseaux des instances EC2 n'est pas suffisant car l'ALB lui-même ne peut pas recevoir le trafic Internet s'il est dans un sous-réseau privé.