Le applicazioni di un'azienda vengono eseguite su istanze Amazon EC2 con indirizzi IPv6. Le applicazioni devono avviare comunicazioni in uscita verso servizi internet esterni, ma la policy di sicurezza richiede che i servizi esterni non possano avviare connessioni alle istanze EC2. Cosa dovrebbe raccomandare un architetto di soluzioni?

La risposta corretta è creare un egress-only internet gateway e renderlo la destinazione della tabella di routing della sottorete. Un Egress-Only Internet Gateway (EIGW) è progettato specificamente per le istanze IPv6 in una sottorete privata, consentendo loro di avviare comunicazioni in uscita verso Internet, ma impedendo a Internet di avviare connessioni in entrata verso le istanze. Questo soddisfa perfettamente i requisiti di sicurezza. Creare un NAT gateway è sbagliato perché i NAT gateway sono utilizzati per le istanze IPv4 in sottoreti private che necessitano di accesso a Internet. Le istanze in questo scenario utilizzano IPv6. Creare un internet gateway è sbagliato perché un Internet Gateway (IGW) consente sia il traffico in entrata che quello in uscita da Internet, il che violerebbe la policy di sicurezza che impedisce connessioni in entrata. Creare un virtual private gateway è sbagliato perché un Virtual Private Gateway (VPG) è utilizzato per stabilire una connessione VPN tra la VPC e la rete on-premise, non per l'accesso a Internet per le istanze.