한 컨설팅 회사가 고객을 위해 AWS 계정을 관리합니다. 한 고객은 재설계 없이 침입 방지 기능을 추가해야 합니다. 고객의 환경은 두 개의 미국 리전에 걸쳐 5개의 VPC를 가지고 있으며, 이들은 VPC 피어링으로 연결되어 있고 향후 2년 내에 VPC를 추가할 계획이 없습니다. 이 솔루션은 암호화되지 않은 트래픽을 검사할 수 있어야 합니다. 어떤 접근 방식이 이러한 요구 사항을 충족할까요?

정답은 각 VPC에 AWS Network Firewall 분산 배포 모델을 사용하는 것입니다. 고객의 환경은 두 개의 리전에 걸쳐 5개의 VPC로 구성되어 있으며, VPC 피어링으로 연결되어 있습니다. Network Firewall 분산 배포 모델은 각 VPC에 방화벽 엔드포인트를 배포하여 VPC 간 트래픽을 포함한 모든 트래픽을 검사할 수 있도록 합니다. 이는 재설계 없이 침입 방지 기능을 추가하고 암호화되지 않은 트래픽을 검사해야 하는 요구 사항을 충족합니다. VPC 보안 그룹과 네트워크 ACL은 기본적인 상태 저장/비저장 방화벽 기능을 제공하지만, 침입 방지 기능은 제공하지 않습니다. AWS Network Firewall 중앙 집중식 배포 모델은 여러 VPC의 트래픽을 중앙 방화벽 VPC로 라우팅해야 하므로 VPC 피어링을 사용하는 현재 아키텍처에 상당한 재설계가 필요합니다. AWS Shield는 DDoS 보호 서비스이며 침입 방지 기능과는 관련이 없습니다.