한 회사에서 VPC 내 기업 AWS 인스턴스의 모든 트래픽을 검사하여 정책 위반 여부를 확인하고 특정 IP 주소를 차단하는 보안 요구 사항을 도입했습니다. 이를 충족하기 위해 회사는 승인된 프록시 소프트웨어를 실행하는 EC2 인스턴스를 프라이빗 서브넷에 투명 프록시로 배포하고, 서브넷 라우팅 테이블을 업데이트하여 프록시 인스턴스를 기본 경로로 사용하도록 했으며, 정책을 준수하는 보안 그룹을 연결했습니다. 이러한 변경에도 불구하고 프라이빗 서브넷의 인스턴스에서 발생하는 트래픽이 프록시를 통해 인터넷으로 전달되지 않고 있습니다. 솔루션스 아키텍트는 이 문제를 해결하기 위해 무엇을 해야 할까요?

프록시 EC2 인스턴스에서 소스/대상 확인을 비활성화해야 합니다. 기본적으로 EC2 인스턴스는 자신이 보낸 트래픽 또는 자신을 대상으로 하는 트래픽만 소스/대상으로 간주합니다. 인스턴스가 다른 인스턴스(이 경우 프라이빗 서브넷의 다른 인스턴스)를 대신하여 트래픽을 라우팅하거나 전달하려면 이 확인을 비활성화해야 합니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. 보안 그룹 규칙을 추가하는 것은 네트워크 연결 문제를 해결하는 데 도움이 될 수 있지만, 트래픽이 프록시를 통해 라우팅되지 않는 근본적인 문제를 해결하지 못합니다. DHCP 옵션 세트에서 DNS 서버를 변경하는 것은 DNS 확인에 영향을 미치지만 트래픽 라우팅에는 영향을 미치지 않습니다. 추가 ENI를 연결하는 것은 복잡성을 증가시키고 투명 프록시 설정에 필요하지 않습니다. 라우팅 테이블이 이미 프록시를 기본 경로로 사용하도록 구성되어 있습니다.