Een netwerkengineer moet AWS Network Firewall implementeren in een bestaande omgeving die het volgende omvat: een transit gateway met alle gekoppelde VPC's; honderden applicatie-VPC's; een gecentraliseerde egress internet-VPC met een NAT gateway en een internet gateway; een gecentraliseerde ingress internet-VPC die openbare ALB's host; en on-premises connectiviteit via een Direct Connect gateway. De applicatie-VPC's hebben workloads in privé-subnets en hun routetabellen sturen 0.0.0.0/0 naar de transit gateway. De firewall moet east-west (VPC-naar-VPC) en north-south (internet en on-premises) verkeer inspecteren met Suricata-compatibele regels. De oplossing moet minimale architectonische wijzigingen vereisen. Welke combinatie van stappen moet de engineer nemen? (Kies drie.)

De Network Firewall wordt geïmplementeerd in een gecentraliseerde inspectie-VPC om alle verkeer te inspecteren, wat schaalbaar is en minimale architectonische wijzigingen vereist. Het implementeren in elke applicatie-VPC zou te complex zijn voor honderden VPC's. De HOMENET variabele moet alle interne CIDR-bereiken (VPC's en on-premises) bevatten zodat Suricata-regels correct onderscheid kunnen maken tussen intern en extern verkeer. EXTERNALNET zou het tegenovergestelde doen, wat onjuist is voor interne netwerken. Twee Transit Gateway-routetabellen zijn nodig: één voor de applicatie-VPC's om verkeer naar de inspectie-VPC te sturen, en één voor de inspectie-VPC om verkeer terug te sturen naar de applicatie-VPC's of naar externe bestemmingen, waardoor een bidirectionele inspectie-flow ontstaat. Eén routetabel zou geen gedifferentieerde routing mogelijk maken.