Консалтинговая фирма управляет аккаунтами AWS для клиентов. Одному клиенту требуется добавить предотвращение вторжений без изменения архитектуры. Окружение клиента состоит из пяти VPC в двух регионах США, соединенных с помощью VPC peering, и они не планируют добавлять новые VPC в ближайшие 2 года. Решение должно иметь возможность проверять незашифрованный трафик. Какой подход удовлетворяет этим требованиям?

Правильный ответ — использование распределенной модели развертывания AWS Network Firewall в каждом VPC. AWS Network Firewall предоставляет возможности предотвращения вторжений (IPS) и может проверять незашифрованный трафик. Распределенная модель, при которой брандмауэр развертывается в каждом VPC, позволяет проверять трафик внутри каждого VPC без изменения существующей архитектуры VPC peering. Это соответствует требованию клиента о добавлении IPS без изменения архитектуры и проверке незашифрованного трафика. Настройка групп безопасности VPC и сетевых ACL не предоставляет функциональность IPS. Централизованная модель AWS Network Firewall обычно требует изменения архитектуры маршрутизации для перенаправления всего трафика через центральный VPC, что противоречит требованию клиента. AWS Shield предназначен для защиты от DDoS-атак и не предоставляет функциональность IPS.