Een systeemengineer lost problemen op in een testomgeving die een inline virtuele beveiligingsappliance omvat. Het ontwikkelteam wil ook security groups en netwerk-ACL's gebruiken om aan verschillende beveiligingsvereisten te voldoen. Welke configuratiewijziging is vereist om de virtuele beveiligingsappliance in staat te stellen verkeer te routeren?

Om een virtuele beveiligingsappliance verkeer te laten routeren dat niet voor de appliance zelf bestemd is, moet de source/destination check op de Elastic Network Interface (ENI) van de appliance worden uitgeschakeld. Deze controle is standaard ingeschakeld en voorkomt dat een ENI pakketten verstuurt of ontvangt waarvan het IP-adres niet overeenkomt met het eigen IP-adres. Door dit uit te schakelen, kan de appliance als een "bump-in-the-wire" fungeren en verkeer inspecteren en doorsturen. Netwerk-ACL's uitschakelen is onjuist, omdat deze een extra beveiligingslaag bieden en samen met security groups kunnen werken. Promiscuous mode is geen standaardinstelling of optie in AWS voor ENI's. De plaatsing in een publiek subnet met een internetgateway is irrelevant voor de routeringsfunctionaliteit van de appliance zelf; het bepaalt alleen de internettoegang.