Bir Amazon EC2 örneği, harici internet erişimi olmayan yeni bir VPC'deki özel bir alt ağda (private subnet) bulunmaktadır. EC2 örneğinin harici bir satıcıdan aylık güvenlik güncellemelerini indirmesi gerekmektedir. Bir çözümler mimarı bu gereksinimi karşılamak için ne yapmalıdır?

Doğru cevap, özel bir alt ağdaki EC2 örneğinin internete çıkışını sağlamak için bir NAT Gateway kullanmaktır. NAT Gateway'i genel bir alt ağa yerleştirip, özel alt ağın yönlendirme tablosunu NAT Gateway'i varsayılan rota olarak kullanacak şekilde yapılandırmak, EC2 örneğinin internetten güvenlik güncellemelerini indirmesine olanak tanır ancak internetten gelen doğrudan bağlantıları engeller. Diğer seçenekler neden yanlış: Bir internet gateway oluşturmak ve özel alt ağın yönlendirme tablosunu doğrudan internet gateway'e yönlendirmek, özel alt ağı genel hale getirir ve güvenlik riskleri oluşturur. Bir NAT instance oluşturmak teknik olarak mümkün olsa da, NAT Gateway yönetilen bir hizmettir ve daha yüksek kullanılabilirlik, bant genişliği ve daha az yönetim yükü sunar. Ayrıca, NAT instance'ı EC2 örneğiyle aynı alt ağa yerleştirmek, NAT instance'ının internete erişimi için yine bir genel alt ağa veya başka bir NAT cihazına ihtiyaç duymasına neden olur. Hem internet gateway hem de NAT instance kullanmak ve özel alt ağın yönlendirme tablosunu internet gateway'e yönlendirmek, yine özel alt ağın doğrudan internete açılmasına neden olur ve NAT instance'ın amacını boşa çıkarır.