Architekt rozwiązań projektuje VPC z podsieciami publicznymi i prywatnymi. VPC i podsieci używają bloków CIDR IPv4. W każdej z trzech Stref Dostępności (AZ) znajduje się jedna podsieć publiczna i jedna podsieć prywatna, co zapewnia wysoką dostępność. Brama internetowa (internet gateway) zapewnia dostęp do internetu dla podsieci publicznych. Podsieci prywatne wymagają dostępu do internetu, aby instancje Amazon EC2 mogły pobierać aktualizacje oprogramowania. Co powinien zrobić architekt rozwiązań, aby umożliwić dostęp do internetu dla podsieci prywatnych?

Prawidłowa odpowiedź to utworzenie trzech bram NAT (NAT gateways), po jednej w każdej publicznej podsieci w każdej Strefie Dostępności (AZ). Następnie należy skonfigurować prywatne tabele routingu dla każdej AZ, aby kierowały ruch wychodzący z podsieci prywatnych do bramy NAT w tej samej AZ. Bramy NAT są zarządzaną usługą AWS, która umożliwia instancjom w podsieciach prywatnych inicjowanie połączeń wychodzących do Internetu, jednocześnie zapobiegając połączeniom przychodzącym z Internetu. Umieszczenie bramy NAT w każdej AZ i routowanie ruchu w tej samej AZ zapewnia wysoką dostępność i minimalizuje koszty transferu danych. Nieprawidłowe opcje: Instancje NAT (NAT instances) są starszym rozwiązaniem, które wymaga ręcznego zarządzania, skalowania i zapewnienia wysokiej dostępności. Bramy NAT są preferowanym, zarządzanym rozwiązaniem. Utworzenie drugiej bramy internetowej nie jest możliwe, ponieważ VPC może mieć tylko jedną bramę internetową. Ponadto, bramy internetowe zapewniają dwukierunkowy dostęp do Internetu, co naruszyłoby bezpieczeństwo podsieci prywatnych. Brama internetowa tylko do ruchu wychodzącego (egress-only internet gateway) jest przeznaczona dla ruchu IPv6, a scenariusz dotyczy IPv4.