Een bedrijf met meerdere accounts en VPC's die via een Transit Gateway zijn verbonden, heeft deep packet inspection (DPI) nodig voor al het verkeer dat een VPC-grens verlaat. Al het geïnspecteerde verkeer en DPI-acties moeten centraal worden gelogd in een logaccount. Welk ontwerp voldoet aan deze behoeften en minimaliseert tegelijkertijd de administratieve overhead?

De correcte optie beschrijft het gebruik van een centrale netwerk-VPC met een AWS Gateway Load Balancer (GWLB) en next-generation firewall-appliances. De GWLB is specifiek ontworpen voor het inbrengen van virtuele appliances, zoals firewalls, in het netwerkpad, waardoor deep packet inspection (DPI) van al het verkeer dat de VPC-grens verlaat mogelijk wordt. Door de appliances te configureren om logboeken naar een S3-bucket in een centraal logaccount te schrijven, wordt voldaan aan de vereiste voor gecentraliseerde logging. Dit minimaliseert de administratieve overhead omdat de inspectie en logging centraal worden beheerd. De optie met een Application Load Balancer is onjuist omdat een ALB op laag 7 werkt en niet geschikt is voor het transparant inbrengen van firewalls voor al het verkeer op laag 3/4. Netwerk-ACL's en security groups bieden geen DPI-mogelijkheden. De optie met een Network Load Balancer en VPC Traffic Mirroring is inefficiënt en complex voor DPI van al het verkeer dat een VPC-grens verlaat, en Traffic Mirroring is meer geschikt voor monitoring dan voor actieve inspectie en blokkering.