Un'azienda gestisce un'applicazione a due livelli per l'elaborazione delle immagini. L'applicazione utilizza due Availability Zone, ciascuna con una sottorete pubblica e una sottorete privata. Un Application Load Balancer (ALB) per il livello web utilizza le sottoreti pubbliche. Le istanze Amazon EC2 per il livello applicativo utilizzano le sottoreti private. Gli utenti segnalano che l'applicazione sta funzionando più lentamente del previsto. Un audit di sicurezza dei file di log del server web mostra che l'applicazione sta ricevendo milioni di richieste illegittime da un piccolo numero di indirizzi IP. Un architetto di soluzioni deve risolvere il problema immediato di prestazioni mentre l'azienda indaga su una soluzione più permanente. Cosa dovrebbe raccomandare l'architetto di soluzioni per soddisfare questo requisito?

La Network ACL (NACL) è la soluzione più efficace per bloccare il traffico indesiderato a livello di sottorete, prima che raggiunga l'ALB e le istanze EC2. Le NACL sono stateless e possono includere regole di negazione esplicite, rendendole ideali per bloccare indirizzi IP specifici che generano traffico dannoso. Modificare la NACL per le sottoreti del livello web (dove si trova l'ALB) garantirà che il traffico illegittimo venga bloccato il più presto possibile nel percorso di rete, alleviando immediatamente il carico sull'applicazione. Modificare il security group in entrata per il livello web non è l'ideale perché i security group sono stateful e non supportano regole di negazione esplicite per bloccare indirizzi IP specifici. Modificare il security group o la NACL per il livello applicativo non risolverebbe il problema di prestazioni immediato, poiché il traffico dannoso raggiungerebbe comunque l'ALB prima di essere bloccato, continuando a consumare risorse.