Brama tranzytowa wysyła dzienniki przepływów do grupy dzienników CloudWatch Logs. Funkcja Lambda analizuje dzienniki i publikuje powiadomienia SNS, gdy VPC generuje ruch, który brama tranzytowa odrzuca. Każde powiadomienie zawiera identyfikator konta, identyfikator VPC i całkowitą liczbę odrzuconych pakietów. Nowa funkcja Lambda subskrybowana do tematu SNS musi automatycznie zatrzymać zidentyfikowany ruch przed opuszczeniem źródłowego VPC poprzez zastosowanie listy kontroli dostępu do sieci (network ACL) do podsieci załączników bramy tranzytowej w tym VPC. Które podejście spełnia ten wymóg?

Prawidłowe podejście polega na zablokowaniu ruchu wychodzącego z VPC, zanim dotrze on do bramy tranzytowej. Aby to zrobić, nowa funkcja Lambda musi utworzyć regułę wychodzącą listy ACL sieci (network ACL) w podsieci załącznika bramy tranzytowej w źródłowym VPC. Reguła ta powinna używać docelowych adresów IP odrzuconego ruchu, które muszą być zawarte w powiadomieniu SNS przez istniejącą funkcję Lambda. Opcje dotyczące źródłowych adresów IP są nieprawidłowe, ponieważ network ACL w podsieci załącznika bramy tranzytowej kontroluje ruch opuszczający VPC w kierunku bramy tranzytowej (ruch wychodzący) lub wchodzący do VPC z bramy tranzytowej (ruch przychodzący). Blokowanie ruchu wychodzącego na podstawie docelowych adresów IP jest odpowiednie do zatrzymania ruchu przed opuszczeniem źródłowego VPC. Reguły przychodzące są również nieprawidłowe, ponieważ kontrolują ruch wchodzący do VPC.