Een workload draait op duizenden EC2 instances in een VPC met publieke en private subnets. Publieke subnets routeren 0.0.0.0/0 naar een internet gateway; private subnets routeren 0.0.0.0/0 naar een NAT gateway. Je moet de vloot migreren naar IPv6 en er tegelijkertijd voor zorgen dat instances in private subnets niet bereikbaar zijn vanaf het publieke internet. Wat moet de solutions architect doen?

De correcte optie zorgt voor IPv6-connectiviteit voor privé-instances zonder publieke inkomende verbindingen toe te staan. Een door Amazon geleverd IPv6 CIDR-blok is vereist omdat aangepaste IPv6 CIDR-blokken niet direct aan een VPC kunnen worden gekoppeld. Een egress-only internet gateway (EIGW) is specifiek ontworpen voor IPv6-verkeer van privé-subnets naar het internet, terwijl inkomende verbindingen worden geblokkeerd, wat voldoet aan de beveiligingsvereiste. De eerste optie is onjuist omdat aangepaste IPv6 CIDR-blokken niet direct aan een VPC kunnen worden gekoppeld en het routeren van ::/0 naar een internet gateway voor alle subnets publieke toegang tot privé-instances zou toestaan. De tweede optie is onjuist omdat een NAT gateway alleen IPv4 ondersteunt; er is geen IPv6 NAT gateway. De vierde optie is onjuist omdat aangepaste IPv6 CIDR-blokken niet direct aan een VPC kunnen worden gekoppeld en er geen IPv6-enabled NAT gateway bestaat.