Je hebt een 3-tier web→API→database applicatie in één VPC waarbij de tiers onafhankelijk schalen. Verkeer moet stromen web→API→DB en web mag de DB niet direct bereiken. Hoe moet je de netwerken configureren?

De juiste aanpak is om elke tier te taggen en firewallregels te creëren. Met tags kun je VM's identificeren die tot een specifieke tier behoren (bijv. 'web-tier', 'api-tier', 'db-tier'). Vervolgens kun je met firewallregels op basis van deze tags bepalen welk verkeer is toegestaan. Zo kun je een regel maken die verkeer van 'web-tier' naar 'api-tier' toestaat, en van 'api-tier' naar 'db-tier', terwijl je direct verkeer van 'web-tier' naar 'db-tier' blokkeert. Elke tier in een ander subnetwork plaatsen helpt bij logische segmentatie, maar garandeert op zichzelf geen verkeersbeperking tussen de tiers; hiervoor zijn nog steeds firewallregels nodig. Host-based software firewalls zijn minder schaalbaar en moeilijker centraal te beheren dan netwerkfirewalls. Routes bepalen hoe verkeer naar een bestemming komt, niet of het überhaupt is toegestaan; dat is de taak van firewallregels.