Компании с несколькими аккаунтами и VPC, соединенными через Transit Gateway, требуется глубокая инспекция пакетов (DPI) для любого трафика, покидающего границы VPC. Весь инспектируемый трафик и действия DPI должны централизованно регистрироваться в аккаунте для логирования. Какой дизайн отвечает этим требованиям, минимизируя при этом административные издержки?

Правильный ответ предлагает централизованное решение для DPI с использованием AWS Gateway Load Balancer (GWLB) и сторонних межсетевых экранов нового поколения в выделенной VPC. GWLB предназначен для прозрачного перенаправления трафика на виртуальные устройства безопасности и обратно, что идеально подходит для DPI. Маршрутизация через Transit Gateway гарантирует, что весь исходящий трафик проходит через эту инспекционную VPC. Централизованное логирование в S3 bucket обеспечивает единое хранилище для журналов DPI. Неправильные варианты: Использование Application Load Balancer не подходит, так как он работает на уровне 7 и не может прозрачно инспектировать весь трафик, как GWLB. Syslog-сервер менее масштабируем и надежен для централизованного логирования, чем S3. Сетевые ACL и группы безопасности не выполняют глубокую инспекцию пакетов (DPI); они обеспечивают только базовую фильтрацию трафика на уровнях 3 и 4. VPC Flow Logs собирают метаданные трафика, а не сам трафик для DPI. Network Load Balancer не предназначен для интеграции с устройствами безопасности для DPI, как GWLB. VPC Traffic Mirroring дублирует трафик, но не перенаправляет его для обязательной инспекции всего исходящего трафика, что увеличивает сложность и накладные расходы.