Сетевой инженер должен развернуть AWS Network Firewall в существующей среде, которая включает: транзитный шлюз со всеми подключенными VPC; сотни VPC приложений; централизованный VPC для исходящего интернет-трафика с NAT gateway и интернет-шлюзом; централизованный VPC для входящего интернет-трафика, на котором размещены публичные ALB; и подключение к локальной сети через Direct Connect gateway. VPC приложений имеют рабочие нагрузки в частных подсетях, и их таблицы маршрутизации отправляют 0.0.0.0/0 на транзитный шлюз. Межзональный трафик (VPC-to-VPC) и трафик север-юг (интернет и локальная сеть) должны проверяться с помощью правил, совместимых с Suricata. Решение должно требовать минимальных архитектурных изменений. Какую комбинацию шагов должен предпринять инженер? (Выберите три.)

Развертывание Network Firewall в каждой Availability Zone в централизованном VPC для инспекции является оптимальным, поскольку это позволяет централизовать инспекцию трафика, минимизируя изменения в сотнях VPC приложений. Обновление переменной HOMENET для включения всех диапазонов CIDR VPC и локальных сетей необходимо, чтобы правила Suricata корректно идентифицировали внутренние сети. Настройка двух таблиц маршрутизации транзитного шлюза (одна для VPC приложений, другая для инспекционного VPC) позволяет направлять весь трафик из VPC приложений через инспекционный VPC для проверки, а затем обратно или к месту назначения. Развертывание Network Firewall в каждом VPC приложения приведет к значительным архитектурным изменениям и управленческим накладным расходам. Обновление EXTERNALNET неверно, так как HOMENET определяет внутренние сети. Настройка одной таблицы маршрутизации не позволит эффективно направлять трафик через инспекционный VPC.