Un'azienda esegue un'applicazione web su istanze Amazon EC2 in più zone di disponibilità. Le istanze EC2 si trovano in sottoreti private. Un architetto di soluzioni ha creato un Application Load Balancer (ALB) rivolto a Internet e ha specificato le istanze EC2 come gruppo di destinazione, ma il traffico Internet non raggiunge le istanze. Come dovrebbe riconfigurare l'architettura l'architetto per risolvere il problema?

L'Application Load Balancer (ALB) deve essere distribuito in sottoreti pubbliche per essere accessibile da Internet. Le istanze EC2 si trovano in sottoreti private, il che è corretto per motivi di sicurezza. Pertanto, la soluzione consiste nel creare sottoreti pubbliche in ogni zona di disponibilità per l'ALB. L'ALB inoltrerà quindi il traffico alle istanze EC2 nelle sottoreti private. Le tabelle di routing delle sottoreti pubbliche devono essere configurate per instradare il traffico verso le sottoreti private dove risiedono le istanze EC2. Le opzioni errate: Sostituire l'ALB con un Network Load Balancer non risolve il problema fondamentale dell'ALB che non si trova in una sottorete pubblica. Il NAT gateway è per il traffico in uscita dalle istanze private, non per il traffico in entrata verso l'ALB. Spostare le istanze EC2 in sottoreti pubbliche le esporrebbe direttamente a Internet, il che è una pratica di sicurezza sconsigliata per le istanze applicative. Aggiornare le tabelle di routing delle sottoreti private per inviare il traffico 0.0.0.0/0 attraverso il gateway Internet renderebbe le istanze direttamente accessibili da Internet, violando il principio di sicurezza di avere istanze applicative in sottoreti private.