Een VPC omvat twee Availability Zones. Elke AZ heeft één privé-subnet en één publiek subnet. Er zijn drie routetabellen: één gedeeld door de publieke subnets en één privé-routetabel per AZ. Alle vier de subnets proberen uitgaand verkeer te routeren via de internetgateway van de VPC. Welke acties moet de security engineer ondernemen om dit te verhelpen? (Kies twee.)

Om uitgaand verkeer van privé-subnets naar internet toe te staan zonder directe internettoegang, is een NAT Gateway nodig. Deze moet in een publiek subnet worden geplaatst, zodat deze een publiek IP-adres kan gebruiken om verkeer naar buiten te sturen en antwoorden terug te sturen naar de privé-instances. Door een NAT Gateway in het publieke subnet van elke AZ te plaatsen, wordt redundantie en hoge beschikbaarheid gewaarborgd. Vervolgens moeten de routetabellen van de privé-subnets worden bijgewerkt met een standaardroute (0.0.0.0/0) die al het uitgaande verkeer naar de NAT Gateway in dezelfde AZ stuurt. De optie om een NAT Gateway in het privé-subnet te plaatsen is onjuist, omdat een NAT Gateway een publiek IP-adres nodig heeft om te functioneren. Het toevoegen van een lokale route aan het VPC CIDR-bereik in publieke routetabellen is overbodig, aangezien dit verkeer al lokaal binnen het VPC wordt afgehandeld. Het richten van de privé-subnet routetabel naar de internetgateway is onjuist, omdat dit de privé-instances directe internettoegang zou geven, wat het doel van een privé-subnet ondermijnt en een NAT Gateway overbodig maakt.