애플리케이션이 Network Load Balancer(NLB) 뒤의 세 가지 가용 영역에 걸쳐 세 개의 EC2 인스턴스에서 실행됩니다. 관리자는 NLB에서 들어오는 요청만 허용하도록 인스턴스 트래픽을 제한해야 합니다. 운영 작업이 가장 적으면서 이 요구 사항을 충족하는 접근 방식은 무엇입니까?

정답은 EC2 인스턴스의 보안 그룹 인바운드 규칙을 NLB와 연결된 보안 그룹에서만 트래픽을 수락하도록 설정하는 것입니다. NLB는 보안 그룹과 직접 연결되지 않지만, 대상 그룹에 등록된 EC2 인스턴스는 보안 그룹을 사용하여 트래픽을 제어할 수 있습니다. 이 방법은 NLB에서 오는 트래픽만 허용하도록 인스턴스를 효과적으로 격리하며, 가장 적은 운영 오버헤드를 필요로 합니다. NLB의 탄력적 네트워크 인터페이스에서만 트래픽을 수락하도록 설정하는 것은 NLB가 고정된 IP 주소를 사용하지 않으므로 효과적이지 않습니다. 네트워크 ACL은 서브넷 수준에서 작동하며, NLB의 CIDR 범위는 동적으로 변경될 수 있어 관리하기 어렵습니다. 타사 방화벽은 추가적인 비용과 관리 복잡성을 초래합니다.