Le istanze EC2 nelle sottoreti private devono avviare tutte le richieste in uscita, incluso il traffico verso il datacenter on-premise tramite Direct Connect. Nessuna risorsa esterna deve avviare connessioni a queste istanze EC2. Il customer gateway on-premise utilizza un firewall stateful che filtra il traffico per più VPC e l'azienda preferisce utilizzare una singola corrispondenza IP sul firewall per consentire tutto il traffico EC2. Quale opzione soddisfa i requisiti con il minor overhead operativo?

La risposta corretta è distribuire un NAT Gateway privato. Un NAT Gateway privato consente alle istanze EC2 in sottoreti private di avviare connessioni verso la rete on-premise tramite Direct Connect, senza che le risorse on-premise possano avviare connessioni verso le istanze EC2. L'indirizzo IP di origine per tutto il traffico in uscita dalle istanze EC2 sarà l'indirizzo IP privato del NAT Gateway, semplificando la configurazione del firewall on-premise con una singola corrispondenza IP. Le altre opzioni sono meno efficienti o non soddisfano i requisiti: Creare una VPN su Direct Connect e bloccare il traffico in entrata dal firewall on-premise non è la soluzione più semplice per gestire il traffico in uscita e non offre il vantaggio di un singolo IP di origine. Configurare il firewall on-premise per filtrare tutte le richieste non fornisce un meccanismo per aggregare il traffico in uscita da un singolo IP. Un'istanza NAT richiede gestione e manutenzione, aumentando l'overhead operativo rispetto a un NAT Gateway gestito.