Un architetto di soluzioni deve aggiungere un filtro centralizzato e basato su regole per il traffico Internet in uscita per tutti gli account AWS in un'AWS Organization. L'organizzazione ha più di 100 account, utilizza un AWS Transit Gateway centralizzato per il routing tra gli account, ogni account ha un internet gateway e un NAT gateway e tutte le risorse si trovano in un'unica Regione. Il picco di traffico in uscita non supererà i 25 Gbps per Zona di disponibilità. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è creare una VPC centralizzata per il traffico in uscita e utilizzare AWS Network Firewall. Network Firewall è un servizio gestito che fornisce un filtraggio basato su regole ad alte prestazioni e scalabile, ideale per i requisiti di traffico e il numero di account. La creazione di endpoint in ogni Zona di Disponibilità garantisce alta disponibilità e resilienza. L'aggiornamento delle tabelle di routing del Transit Gateway dirigerà il traffico attraverso il firewall centralizzato. Le opzioni che propongono istanze EC2 con proxy open source sono meno efficienti e più complesse da gestire e scalare rispetto a un servizio gestito come Network Firewall, specialmente con un traffico di 25 Gbps per AZ. Distribuire Network Firewall o proxy EC2 in ogni account sarebbe oneroso in termini di gestione e costi per oltre 100 account, e non centralizzerebbe il filtraggio come richiesto.