Krytyczna aplikacja działa na instancjach EC2 za Application Load Balancer i musi być zawsze dostępna na porcie 443 z publicznego internetu. Awaria wystąpiła po nieprawidłowej zmianie grupy zabezpieczeń EC2. Inżynier sieci potrzebuje zautomatyzowanego sposobu weryfikacji łączności z internetu do instancji EC2 za każdym razem, gdy zmienia się grupa zabezpieczeń, oraz powiadamiania, gdy łączność zostanie naruszona. Które rozwiązanie spełnia te wymagania?

Poprawne rozwiązanie wykorzystuje VPC Reachability Analyzer do proaktywnego testowania łączności od bramy internetowej (Internet Gateway) do instancji EC2 na porcie 443. Określenie bramy internetowej jako źródła symuluje ruch z publicznego internetu. Funkcja Lambda, wywoływana przez EventBridge po każdej zmianie grupy zabezpieczeń, automatyzuje ten proces i powiadamia przez SNS w przypadku naruszenia łączności. Opcje z VPC Flow Logs są nieodpowiednie, ponieważ Flow Logs rejestrują istniejący ruch, a nie proaktywnie testują łączność. Rejestrowanie odrzuconego ruchu (REJECT) wymagałoby, aby ruch najpierw dotarł do interfejsu, a celem jest zapobieganie takim sytuacjom. Rejestrowanie całego ruchu nie wskazuje na problem z łącznością. Opcja z Reachability Analyzer, która określa grupę zabezpieczeń jako źródło, jest nieprawidłowa, ponieważ grupa zabezpieczeń nie jest punktem początkowym ruchu z publicznego internetu; tym punktem jest brama internetowa.