Un ingegnere di sistema sta risolvendo un problema in un ambiente di test che include un'appliance di sicurezza virtuale inline. Il team di sviluppo desidera anche utilizzare i security group e le ACL di rete per soddisfare vari requisiti di sicurezza. Quale modifica di configurazione è necessaria per consentire all'appliance di sicurezza virtuale di instradare il traffico?

Per consentire a un'appliance di sicurezza virtuale inline di ispezionare e instradare il traffico destinato ad altre istanze, è fondamentale disabilitare il controllo source/destination (origine/destinazione) sulla sua Elastic Network Interface (ENI). Questo perché l'appliance deve essere in grado di inviare e ricevere traffico per conto di altre istanze, agendo come un gateway o un proxy. Se il controllo source/destination fosse abilitato, l'ENI accetterebbe o invierebbe traffico solo se l'indirizzo IP di origine o destinazione corrispondesse all'indirizzo IP dell'ENI stessa, impedendo il corretto funzionamento dell'appliance come intermediario. Disabilitare le ACL di rete non è la soluzione, in quanto le ACL sono un livello di sicurezza aggiuntivo e non influenzano direttamente la capacità di routing dell'appliance. Configurare l'ENI in modalità promiscua non è un'opzione supportata direttamente o necessaria in AWS per questo scopo. Posizionare l'appliance in una sottorete pubblica con un internet gateway non è direttamente correlato alla sua capacità di instradare il traffico tra istanze interne alla VPC.