Frontendowe i backendowe maszyny wirtualne znajdują się w tej samej VPC w różnych podsieciach. NVAs (pełne proxy), które SNAT-ują dozwolony ruch, muszą sprawdzać ruch frontend->backend. NVAs są wdrożone, a wewnętrzny passthrough ILB jest dostępny. Jak należy skonfigurować routing VPC, aby NVAs sprawdzały ruch między podsieciami?

Poprawna odpowiedź wykorzystuje trasę opartą na polityce (PBR), która jest idealna do kierowania ruchu z określonych źródeł (maszyn wirtualnych frontendu) do określonego celu (podsieci backendu) przez następny przeskok, którym jest wewnętrzny passthrough ILB, za którym znajdują się NVA. Ograniczenie PBR do maszyn wirtualnych z tagiem sieciowym frontendu zapewnia, że tylko ruch z tych maszyn jest przekierowywany przez NVA. Globalne zasady zapory sieciowej są niezbędne do zezwolenia na ruch. Pozostałe opcje są nieprawidłowe, ponieważ: Pierwsza opcja odwraca źródło i cel w PBR, co nie odpowiada kierunkowi ruchu frontend-backend. Druga opcja używa niestandardowej trasy statycznej, która nie pozwala na precyzyjne kierowanie ruchu na podstawie źródła i celu, jak w przypadku PBR. Trzecia opcja dodaje niepotrzebną złożoność z dwoma kartami sieciowymi w NVA i również używa nieodpowiedniej niestandardowej trasy statycznej.