Een applicatie draait op drie EC2-instances in drie Availability Zones achter een Network Load Balancer (NLB). De beheerder moet het instance-verkeer beperken, zodat alleen verzoeken die afkomstig zijn van de NLB zijn toegestaan. Welke aanpak voldoet aan deze vereiste met de minste operationele inspanning?

De meest efficiënte en operationeel minst intensieve methode is het configureren van de security group van de EC2-instances om verkeer te accepteren van de security group die is gekoppeld aan de NLB. Security groups zijn stateful en werken op instanceniveau. Door te verwijzen naar de security group van de NLB, staat u automatisch verkeer toe van alle IP-adressen die de NLB gebruikt, zelfs als deze veranderen. Het accepteren van verkeer van de elastic network interfaces van de NLB is minder praktisch omdat de IP-adressen van deze interfaces kunnen veranderen, wat handmatige updates van de security group vereist. Een netwerk-ACL is stateless en werkt op subnetniveau, wat meer configuratie en beheer vergt en minder granulaire controle biedt dan een security group. Het implementeren van een firewall van derden voegt aanzienlijke operationele complexiteit en kosten toe voor een taak die eenvoudig met native AWS-functies kan worden afgehandeld.