Firma konsultingowa zarządza kontami AWS dla swoich klientów. Jeden z klientów potrzebuje dodać ochronę przed intruzami bez zmiany architektury. Środowisko klienta składa się z pięciu VPC rozlokowanych w dwóch regionach USA, połączonych za pomocą VPC peering, i nie planuje dodawać więcej VPC w ciągu najbliższych 2 lat. Rozwiązanie musi być w stanie inspekcjonować niezaszyfrowany ruch. Które podejście spełnia te wymagania?

Rozproszony model wdrożenia AWS Network Firewall w każdym VPC jest najlepszym rozwiązaniem, ponieważ umożliwia inspekcję ruchu wewnątrz każdego VPC, co jest kluczowe dla ochrony przed intruzami bez zmiany architektury. Network Firewall może inspekcjonować niezaszyfrowany ruch i jest skalowalny. Scentralizowany model byłby bardziej złożony ze względu na VPC peering między regionami i wymagałby kierowania całego ruchu przez centralny VPC, co mogłoby wprowadzić opóźnienia i skomplikować routing. Grupy bezpieczeństwa i sieciowe listy ACL zapewniają podstawową kontrolę dostępu, ale nie oferują zaawansowanej inspekcji ruchu ani ochrony przed intruzami. AWS Shield to usługa ochrony przed atakami DDoS, a nie zapora sieciowa do inspekcji ruchu.