Un transit gateway invia i log di flusso a un gruppo di log di CloudWatch Logs. Una Lambda analizza i log e pubblica notifiche SNS quando una VPC genera traffico che il transit gateway scarta. Ogni notifica include l'ID account, l'ID VPC e il totale dei pacchetti scartati. Una nuova Lambda iscritta all'argomento SNS deve impedire automaticamente che il traffico identificato lasci la VPC di origine applicando una network ACL alle sottoreti di attachment del transit gateway in quella VPC. Quale approccio soddisfa questo requisito?

Per impedire al traffico di lasciare la VPC di origine, è necessario bloccare il traffico in uscita dalla VPC. Una network ACL in uscita (outbound) è lo strumento corretto per questo scopo. La regola dovrebbe basarsi sugli indirizzi IP di destinazione del traffico scartato, poiché questi sono gli indirizzi a cui il traffico stava tentando di arrivare, e bloccarli in uscita dalla VPC impedirà ulteriori tentativi. Le opzioni che suggeriscono una network ACL in entrata (inbound) sono errate perché una ACL in entrata controlla il traffico che entra nella sottorete, non quello che la lascia. Le opzioni che usano gli indirizzi IP di origine sono errate perché bloccare gli IP di origine in uscita non impedirebbe al traffico di raggiungere la destinazione desiderata, ma bloccherebbe il traffico da quegli IP all'interno della VPC, il che non è l'obiettivo.