Un'azienda ha migrato un'applicazione su AWS utilizzando istanze EC2 in un gruppo Auto Scaling distribuito su più AZ. L'applicazione chiama un servizio dati di un fornitore terzo tramite HTTPS che utilizza una ACL statica per consentire specifici indirizzi IP client. L'azienda dispone di una connessione Direct Connect funzionante verso l'ambiente on-premise. L'ingegnere di rete deve progettare una soluzione affinché l'applicazione scalata possa continuare ad accedere al servizio del fornitore, riducendo al minimo la necessità di aggiornare la allow list del fornitore. Quale soluzione soddisfa questo requisito con il minor numero di modifiche continue alla allow list del fornitore?

La soluzione corretta è implementare un NAT Gateway privato in ogni AZ. I NAT Gateway pubblici utilizzano indirizzi IP elastici statici, il che significa che l'applicazione che scala su più istanze EC2 in diverse AZ presenterà sempre gli stessi indirizzi IP pubblici al fornitore. Questo riduce al minimo la necessità di aggiornare la allow list del fornitore, poiché gli IP dei NAT Gateway rimangono invariati. Le altre opzioni sono meno efficaci: Creare interfacce di rete elastiche (ENI) e associarle direttamente al gruppo Auto Scaling non è ideale perché le ENI sono risorse a livello di AZ e non scalano automaticamente con le istanze EC2 in un gruppo Auto Scaling. Ogni nuova istanza potrebbe richiedere una nuova ENI o una riconfigurazione, aumentando la complessità. Creare istanze EC2 dedicate per il routing e collegare ENI a queste istanze è una soluzione complessa e costosa, che introduce un singolo punto di guasto per AZ e non si integra bene con la scalabilità automatica. Implementare un ALB (Application Load Balancer) non è appropriato in questo scenario. Un ALB è un load balancer di livello 7 e non è progettato per instradare il traffico in uscita da un'applicazione verso un servizio esterno con un IP statico. Inoltre, gli IP di un ALB possono cambiare, richiedendo aggiornamenti frequenti alla allow list del fornitore.