Een applicatie draait op EC2-instances binnen private subnets van een VPC. De applicatie moet software-updates van het internet kunnen downloaden en het bedrijfsbeleid schrijft voor dat alle EC2-instances zich in private subnets bevinden. Wat moet een SysOps-beheerder doen om internettoegang te bieden voor uitgaande updates, terwijl de instances privé blijven?

Om EC2-instances in private subnets uitgaande internettoegang te geven zonder ze publiekelijk toegankelijk te maken, is een NAT Gateway de juiste oplossing. De NAT Gateway moet in een public subnet worden geplaatst, zodat deze een publiek IP-adres heeft en via de Internet Gateway van de VPC met het internet kan communiceren. Vervolgens moet de routetabel van de private subnets worden bijgewerkt om al het uitgaande internetverkeer (0.0.0.0/0) naar de NAT Gateway te leiden. De NAT Gateway vertaalt dan de privé IP-adressen van de instances naar zijn eigen publieke IP-adres. Optie 1 is onjuist omdat een Internet Gateway alleen inkomende en uitgaande verbindingen voor publieke subnets mogelijk maakt. Directe routing van een privé subnet naar een Internet Gateway zou de instances niet van internettoegang voorzien. Optie 2 is onjuist omdat een NAT Gateway in een privé subnet geen publiek IP-adres kan krijgen en dus geen internettoegang kan bieden. Optie 4 is onjuist omdat een VPC slechts één Internet Gateway kan hebben.