Co należy skonfigurować, aby wymusić izolację na poziomie podsieci poprzez kierowanie ruchu z instancji-A przez instancję urządzenia zabezpieczającego instancję-B, znajdującą się w innej podsieci?

Poprawna odpowiedź wymusza ruch z instancji-A przez instancję-B (urządzenie zabezpieczające) za pomocą niestandardowej trasy. Tworząc bardziej szczegółową trasę (np. /32 dla konkretnego adresu IP) niż domyślna trasa podsieci generowana przez system, zapewniasz, że ta nowa trasa ma priorytet. Określenie instancji-B jako następnego przeskoku kieruje ruch do niej. Zastosowanie tagu do instancji-A (i tylko do niej) sprawia, że ta niestandardowa trasa dotyczy wyłącznie ruchu wychodzącego z instancji-A, co jest kluczowe dla izolacji. Pierwsza opcja jest niepoprawna, ponieważ brak tagu oznaczałby, że trasa dotyczy wszystkich instancji w sieci, a nie tylko instancji-A. Trzecia opcja jest błędna, ponieważ usunięcie trasy podsieci generowanej przez system zakłóciłoby łączność w całej podsieci. Czwarta opcja jest nadmiernie skomplikowana i niepotrzebna, ponieważ routing w ramach tej samej VPC jest możliwy i bardziej efektywny.