Un'azienda sta implementando appliance firewall di terze parti per l'ispezione del traffico e il NAT all'interno della sua VPC, che ha sia sottoreti pubbliche che private. I firewall devono essere posizionati dietro un load balancer. Qual è il design più conveniente che soddisfa questi requisiti?

La risposta corretta è la più conveniente perché un Gateway Load Balancer (GWLB) è specificamente progettato per inserire appliance virtuali di terze parti, come i firewall, in modo trasparente nel percorso del traffico di rete. Il GWLB incapsula il traffico in un tunnel GENEVE e lo invia alle appliance firewall, che lo decapsulano, ispezionano e poi lo reincapsulano per il ritorno al GWLB. Configurare ogni firewall con due interfacce di rete (una privata e una pubblica) consente al firewall di gestire sia l'ispezione che il NAT, eliminando la necessità di un NAT Gateway separato e riducendo i costi. Il GWLB assicura alta disponibilità e scalabilità per le appliance firewall. Le opzioni che propongono un Network Load Balancer (NLB) sono errate perché l'NLB non è ottimizzato per l'inserimento trasparente di appliance di ispezione del traffico. L'NLB opera a livello di trasporto (Layer 4) e non gestisce l'incapsulamento GENEVE necessario per le appliance di ispezione. L'opzione che prevede un GWLB ma con una singola interfaccia di rete e un NAT Gateway separato è meno conveniente perché introduce un costo aggiuntivo per il NAT Gateway e una complessità maggiore nella gestione del traffico.