私有子網路中的 EC2 執行個體必須發起所有對外請求，包括透過 Direct Connect 傳輸到地端資料中心的流量。任何外部資源都不得發起與這些 EC2 執行個體的連線。地端客戶閘道使用有狀態防火牆來篩選多個 VPC 的流量，且公司偏好在防火牆上使用單一 IP 匹配來允許所有 EC2 流量。哪個選項能以最少的操作負擔滿足這些要求？

正確答案是將 NAT gateway 部署到 EC2 執行個體所在的 VPC 中的私有子網路，並設定地端防火牆以允許來自 NAT gateway 的 IP 位址的連線。NAT gateway 允許私有子網路中的 EC2 執行個體發起對外連線，同時防止外部資源直接連線到這些執行個體。由於 NAT gateway 具有單一彈性 IP 位址，地端防火牆可以輕鬆地使用單一 IP 規則來允許所有來自 EC2 執行個體的流量，滿足公司偏好。 其他選項不符合要求： 透過 Direct Connect 建立 VPN 連線增加了不必要的複雜性，且 VPN 通常用於加密公共網路上的流量，而不是 Direct Connect。 僅設定地端防火牆來篩選流量，無法確保 EC2 執行個體可以發起對外連線，也無法提供單一 IP 匹配的便利性。 NAT instance 需要手動管理和擴展，增加了操作負擔，而 NAT gateway 是一種完全託管的服務。