Un'applicazione è in esecuzione su istanze EC2 all'interno di sottoreti private di un VPC. L'applicazione deve essere in grado di scaricare aggiornamenti software da Internet e la politica aziendale impone che tutte le istanze EC2 risiedano in sottoreti private. Cosa dovrebbe fare un amministratore SysOps per fornire accesso a Internet per gli aggiornamenti in uscita mantenendo le istanze private?

La risposta corretta è creare un NAT gateway in una sottorete pubblica e aggiungere una rotta nella tabella di routing delle sottoreti private che indirizzi il traffico destinato a Internet al NAT gateway. Le istanze EC2 in sottoreti private non possono accedere direttamente a Internet. Un NAT gateway, posizionato in una sottorete pubblica, consente alle istanze private di avviare connessioni in uscita verso Internet, traducendo gli indirizzi IP privati in indirizzi IP pubblici. Il traffico di risposta da Internet viene quindi instradato al NAT gateway e inoltrato all'istanza privata. Le altre opzioni sono errate: Collegare un internet gateway al VPC e aggiungere una rotta dalla tabella di routing delle sottoreti private all'internet gateway: Questo non funzionerebbe perché le istanze in sottoreti private non hanno indirizzi IP pubblici per instradare il traffico direttamente tramite un internet gateway. Creare un NAT gateway in una sottorete privata e aggiungere una rotta nella tabella di routing della sottorete privata al NAT gateway: Un NAT gateway deve risiedere in una sottorete pubblica per avere un percorso verso Internet. Collegare due internet gateway al VPC e aggiungere rotte nelle tabelle di routing delle sottoreti sia private che pubbliche a tali internet gateway: Un VPC può avere un solo internet gateway.