Un carico di lavoro viene eseguito su migliaia di istanze EC2 in una VPC che dispone di sottoreti pubbliche e private. Le sottoreti pubbliche instradano 0.0.0.0/0 a un internet gateway; le sottoreti private instradano 0.0.0.0/0 a un NAT gateway. È necessario migrare il parco istanze a IPv6, assicurando che le istanze nelle sottoreti private non siano raggiungibili da Internet pubblico. Cosa dovrebbe fare l'architetto di soluzioni?

L'opzione corretta garantisce la connettività IPv6 in uscita per le istanze private senza esporle a Internet. Associando un blocco CIDR IPv6 fornito da Amazon alla VPC e alle sottoreti, si abilita IPv6. La creazione di un gateway Internet di sola uscita (Egress-Only Internet Gateway) e l'instradamento di ::/0 ad esso per le sottoreti private permette alle istanze di avviare connessioni in uscita verso Internet IPv6, ma impedisce alle connessioni in entrata da Internet di raggiungerle, mantenendo l'isolamento richiesto. Le altre opzioni sono errate perché: L'associazione di un blocco CIDR IPv6 personalizzato non è supportata da AWS per le VPC. L'instradamento di ::/0 a un NAT gateway IPv6 non è il meccanismo corretto per la connettività IPv6 in uscita da sottoreti private; i NAT gateway sono principalmente per IPv4. L'instradamento di ::/0 a un Internet Gateway esporrebbe le istanze private a Internet, violando il requisito di non raggiungibilità.