Een telecombedrijf gebruikt AWS met een Direct Connect tussen on-premises en AWS. De applicatie draait op EC2-instances in meerdere AZ's achter een interne ALB. Clients op het on-premises netwerk maken verbinding met de applicatie via HTTPS; TLS eindigt bij de ALB. De ALB gebruikt meerdere target groups en path-based routing. Het bedrijf zal een on-premises firewall-appliance implementeren die alleen verkeer naar bekende IP-adressen toestaat. Welke oplossing zorgt ervoor dat on-premises verkeer de applicatie kan bereiken en voldoet aan de firewall allow-list vereiste?

De correcte optie is om een Network Load Balancer (NLB) te plaatsen vóór de bestaande Application Load Balancer (ALB). Een NLB kan statische IP-adressen krijgen, wat essentieel is voor de on-premises firewall allow-list. Door de ALB als target te registreren bij de NLB, blijft de functionaliteit van de ALB (zoals TLS-terminatie en path-based routing) behouden. Clients verbinden dan met de statische IP-adressen van de NLB. De eerste optie is onjuist omdat een ALB standaard geen statische IP-adressen heeft die direct aan de ALB zelf kunnen worden toegewezen voor externe toegang. De IP-adressen van een ALB kunnen veranderen. De derde optie is onjuist omdat het verwijderen van de ALB de TLS-terminatie en path-based routing functionaliteit zou elimineren, die cruciaal zijn voor de applicatie. Een NLB kan dit niet zelfstandig afhandelen. De vierde optie is onjuist omdat een Gateway Load Balancer (GWLB) is ontworpen voor het inzetten van virtuele appliances (zoals firewalls of Intrusion Detection Systems) en niet voor het direct load-balancen van applicatieverkeer op deze manier.