Özel alt ağlardaki EC2 örnekleri, Direct Connect üzerinden şirket içi veri merkezine giden trafik de dahil olmak üzere tüm giden istekleri başlatmalıdır. Hiçbir harici kaynak bu EC2 örneklerine bağlantı başlatmamalıdır. Şirket içi müşteri ağ geçidi, birden çok VPC için trafiği filtreleyen durum bilgisi olan bir güvenlik duvarı kullanır ve şirket, tüm EC2 trafiğine izin vermek için güvenlik duvarında tek bir IP eşleşmesi kullanmayı tercih eder. En az operasyonel yük ile gereksinimleri hangi seçenek karşılar?

NAT Gateway, özel alt ağlardaki EC2 örneklerinin Direct Connect üzerinden şirket içi ağa giden bağlantıları başlatmasına olanak tanır. NAT Gateway'e atanan tek bir elastik IP adresi (EIP) sayesinde, şirket içi güvenlik duvarında yalnızca bu EIP'ye izin verilerek operasyonel yük azaltılır. Bu, güvenlik duvarının birden çok EC2 örneği IP adresini yönetme ihtiyacını ortadan kaldırır. NAT Gateway durum bilgisi olan bir hizmettir, bu da EC2 örneklerinden başlatılan giden bağlantıların yanıt trafiğinin geri dönmesine izin verirken, şirket içinden gelen istenmeyen bağlantıları engeller. Diğer seçenekler: VPN bağlantısı, Direct Connect üzerinden zaten mevcut olan bağlantıya ek bir katman ekleyerek karmaşıklığı artırır ve NAT işlevselliği sağlamaz. Şirket içi güvenlik duvarını doğrudan EC2 örneklerine filtrelemek, her bir EC2 örneği için ayrı kurallar gerektirebilir veya güvenlik duvarının çok sayıda özel IP adresini yönetmesini gerektirebilir, bu da operasyonel yükü artırır. NAT instance, NAT Gateway'e göre daha fazla yönetim yükü (yama, ölçeklendirme, yüksek erişilebilirlik) gerektirir ve tek bir hata noktası olabilir.