Le VM frontend e backend si trovano nella stessa VPC, ma in subnet diverse. Le NVA (full proxy) che eseguono SNAT sul traffico consentito devono ispezionare il traffico frontend->backend. Le NVA sono state implementate ed è disponibile un ILB passthrough interno. Come si dovrebbe configurare il routing della VPC in modo che le NVA ispezionino il traffico tra subnet?

L'opzione corretta instrada il traffico dal frontend al backend attraverso le NVA utilizzando il Policy-Based Routing (PBR). Il PBR consente di reindirizzare il traffico in base a criteri specifici (sorgente, destinazione) a un next hop intermedio (l'ILB che bilancia le NVA) prima che raggiunga la destinazione finale. Applicando il PBR alle VM frontend con un tag di rete, si garantisce che solo il traffico generato da queste VM e diretto alla subnet backend venga ispezionato dalle NVA. Le altre opzioni sono errate perché: La prima opzione inverte la sorgente e la destinazione nella PBR, cercando di applicare la policy alle VM backend per il traffico verso il frontend, il che non risponde al requisito di ispezionare il traffico frontend-backend. La seconda e la terza opzione propongono una route statica personalizzata, che non è adatta per reindirizzare selettivamente il traffico attraverso un ILB per l'ispezione in questo scenario. Le route statiche sono più per il routing di destinazione finale, non per l'intercettazione del traffico. Inoltre, l'implementazione di NVA con due NIC non è necessaria per questo tipo di ispezione con un ILB passthrough.