Un architetto di soluzioni sta progettando una VPC con sottoreti pubbliche e private. La VPC e le sottoreti utilizzano blocchi CIDR IPv4. C'è una sottorete pubblica e una sottorete privata in ciascuna delle tre Zone di Disponibilità (AZ) per garantire l'alta disponibilità. Un internet gateway fornisce accesso a Internet per le sottoreti pubbliche. Le sottoreti private richiedono accesso a Internet in modo che le istanze Amazon EC2 possano scaricare gli aggiornamenti software. Cosa dovrebbe fare l'architetto di soluzioni per abilitare l'accesso a Internet per le sottoreti private?

La risposta corretta è creare tre NAT gateway, uno per ogni sottorete pubblica in ogni AZ, e configurare le tabelle di routing private. I NAT gateway consentono alle istanze nelle sottoreti private di avviare connessioni in uscita verso Internet, ricevendo gli aggiornamenti, senza consentire connessioni in entrata non richieste. Posizionando un NAT gateway in ogni AZ si garantisce alta disponibilità e si evita il traffico inter-AZ, che comporta costi aggiuntivi. Le istanze NAT (opzione 2) sono un'alternativa, ma i NAT gateway sono un servizio gestito, più scalabile e meno oneroso da gestire. Un secondo internet gateway (opzione 3) non è possibile e non è il meccanismo corretto per le sottoreti private. Un egress-only internet gateway (opzione 4) è per IPv6, non IPv4.