Transit Gateway aracılığıyla birbirine bağlı birden çok hesabı ve VPC'si olan bir şirketin, bir VPC sınırından çıkan tüm trafik için derin paket denetimine (DPI) ihtiyacı vardır. Denetlenen tüm trafik ve DPI eylemleri merkezi bir günlük hesabında günlüğe kaydedilmelidir. Yönetim yükünü en aza indirirken bu ihtiyaçları karşılayan tasarım hangisidir?

Doğru seçenek, merkezi bir ağ VPC'si oluşturarak, bunu Transit Gateway'e bağlayarak ve üçüncü taraf yeni nesil güvenlik duvarı cihazlarını AWS Gateway Load Balancer (GWLB) arkasına dağıtarak derin paket denetimi (DPI) için ölçeklenebilir ve yönetilebilir bir çözüm sunar. GWLB, güvenlik duvarı cihazlarına trafiği şeffaf bir şekilde yönlendirerek yönetim yükünü azaltır. Güvenlik duvarı günlüklerinin merkezi bir S3 bucket'ına yazılması, tüm DPI eylemlerinin merkezi olarak kaydedilmesini sağlar. Diğer seçenekler neden yanlış: Application Load Balancer (ALB) yalnızca HTTP/HTTPS trafiği için tasarlanmıştır ve tüm ağ trafiği için DPI yapamaz. Syslog sunucusu, S3'e göre daha az ölçeklenebilir ve yönetimi daha zordur. Ağ ACL'leri ve güvenlik grupları durum bilgisi olmayan veya durum bilgisi olan temel filtreleme sağlar ancak derin paket denetimi yapamaz. VPC Flow Logs yalnızca akış meta verilerini kaydeder, paket içeriğini denetlemez. İzinsiz giriş tespit sistemleri (IDS) genellikle trafiği pasif olarak izler ve aktif DPI eylemleri gerçekleştirmez. Ayrıca, her ENI'den VPC Traffic Mirroring kullanmak, büyük ölçekli ortamlarda yönetim yükünü artırır ve karmaşıklık yaratır.