Телекоммуникационная компания использует AWS с Direct Connect между локальной инфраструктурой и AWS. Приложение работает на инстансах EC2 в нескольких AZ за внутренним ALB. Клиенты в локальной сети подключаются к приложению по HTTPS; TLS терминируется на ALB. ALB использует несколько целевых групп и маршрутизацию на основе пути. Компания развернет локальное устройство брандмауэра, которое разрешает трафик только на известные IP-адреса. Какое решение позволит локальному трафику достичь приложения и удовлетворить требование списка разрешений брандмауэра?

Правильный ответ — создание NLB перед ALB. Network Load Balancer (NLB) поддерживает статические IP-адреса для каждой зоны доступности, что позволяет добавить их в список разрешенных IP-адресов брандмауэра. NLB может перенаправлять трафик на Application Load Balancer (ALB), используя целевую группу типа ALB, сохраняя функциональность маршрутизации на основе пути и терминирования TLS на ALB. Клиенты будут подключаться к NLB. Неправильные варианты: ALB не поддерживает статические IP-адреса напрямую, его IP-адреса могут меняться. Удаление ALB и перенос целевых групп в NLB приведет к потере функциональности ALB, такой как терминирование TLS и маршрутизация на основе пути, так как NLB работает на уровне 4. Gateway Load Balancer (GWLB) предназначен для вставки сетевых виртуальных устройств, таких как брандмауэры, в путь трафика, а не для предоставления статических IP-адресов для доступа к приложению.