A los servidores de una subred privada solo se les debe permitir la comunicación saliente a Internet para actualizaciones de software, y NO deben recibir acceso directo desde Internet. ¿Qué componente es el MEJOR?
Selección de un componente que habilita la comunicación saliente desde una subred privada.
Internet Gateway (IGW)
Un IGW habilita la comunicación bidireccional a Internet y también permite el acceso entrante desde Internet.
No coincide con el requisito de permitir solo la comunicación saliente mientras se impide el acceso directo, por lo que es incorrecto.
NAT gateway
Correcto. Un NAT gateway es un componente que permite que las instancias de una subred privada se comuniquen hacia afuera (saliente) mientras no permite el tráfico entrante directo desde Internet. Conviene a la comunicación saliente como las actualizaciones de software.
Egress-Only Internet Gateway
Un Egress-Only Internet Gateway también permite solo la comunicación saliente, pero es un componente dedicado al tráfico IPv6.
Para la comunicación saliente IPv4 que se usa en las actualizaciones de software típicas, se usa un NAT gateway, por lo que es incorrecto.
Endpoint de VPC
Un endpoint de VPC es una ruta privada para acceder a servicios de AWS como S3 sin atravesar Internet.
Sus destinos están limitados a servicios de AWS, por lo que no puede cumplir el requisito de alcanzar servidores de actualización en Internet, como repositorios externos, y es incorrecto.
'Subred privada' y 'solo comunicación saliente' apuntan a un NAT gateway. La conectividad bidireccional a Internet (pública) es un IGW, solo saliente IPv6 es un Egress-Only IGW y una ruta privada a servicios de AWS es un endpoint de VPC. Distinga por dirección y destino.