Firma posiadająca wiele kont i sieci VPC połączonych przez Transit Gateway potrzebuje głębokiej inspekcji pakietów (DPI) dla każdego ruchu opuszczającego granicę VPC. Cały sprawdzany ruch i działania DPI muszą być centralnie logowane na koncie logowania. Które rozwiązanie spełnia te potrzeby, jednocześnie minimalizując narzut administracyjny?

Prawidłowe rozwiązanie wykorzystuje AWS Gateway Load Balancer (GWLB) do centralizacji inspekcji ruchu. GWLB jest zaprojektowany do dystrybucji ruchu do wirtualnych urządzeń sieciowych, takich jak firewalle nowej generacji, co umożliwia głęboką inspekcję pakietów (DPI). Centralna sieć VPC z GWLB i urządzeniami firewall, połączona z Transit Gateway, pozwala na kierowanie całego ruchu wychodzącego przez te urządzenia. Logi z firewalli mogą być następnie centralnie zbierane w zasobniku S3, spełniając wymagania dotyczące logowania. Nieprawidłowe opcje: Użycie Application Load Balancer (ALB) jest niewłaściwe, ponieważ ALB działa na warstwie 7 i nie jest przeznaczony do transparentnego przekazywania ruchu dla inspekcji na warstwach niższych, co jest wymagane dla DPI. Listy kontroli dostępu do sieci (ACL) i grupy bezpieczeństwa (Security Groups) zapewniają filtrowanie ruchu, ale nie oferują możliwości głębokiej inspekcji pakietów (DPI). Network Load Balancer (NLB) jest odpowiedni dla ruchu warstwy 4, ale użycie go z VPC Traffic Mirroring do wysyłania ruchu do urządzeń IDS (Intrusion Detection System) nie zapewnia aktywnej inspekcji i blokowania ruchu, co jest celem DPI.