Инстансы EC2 в частных подсетях должны инициировать все исходящие запросы, включая трафик в локальный центр обработки данных через Direct Connect. Никакие внешние ресурсы не должны инициировать соединения с этими инстансами EC2. Локальный клиентский шлюз использует stateful-межсетевой экран, который фильтрует трафик для нескольких VPC, и компания предпочитает использовать одно совпадение IP-адреса на межсетевом экране, чтобы разрешить весь трафик EC2. Какой вариант соответствует требованиям с наименьшими операционными издержками?

Правильный ответ — развернуть NAT Gateway в частной подсети и настроить локальный межсетевой экран. NAT Gateway позволяет инстансам EC2 в частной подсети инициировать исходящие соединения, скрывая их частные IP-адреса за одним публичным или частным IP-адресом NAT Gateway. Это соответствует требованию использования одного IP-адреса на межсетевом экране для разрешения всего трафика EC2, минимизируя операционные издержки. Тип private для NAT Gateway гарантирует, что трафик будет маршрутизироваться через Direct Connect, а не через интернет. Остальные варианты менее оптимальны: VPN через Direct Connect с блокировкой трафика из локальной сети в AWS не позволяет инстансам EC2 инициировать соединения с локальным ЦОД, что противоречит требованиям. Настройка локального межсетевого экрана для фильтрации запросов из локальной сети к инстансам EC2 не решает проблему использования одного IP-адреса для всего исходящего трафика EC2. NAT Instance требует ручного управления, масштабирования и обеспечения высокой доступности, что увеличивает операционные издержки по сравнению с управляемым сервисом NAT Gateway.