ある企業は、セキュリティ要件として以下の条件を満たすネットワーク検査アーキテクチャを構築しています。 ・すべてのスポークVPC（10個）からインターネットへのトラフィックをサードパーティのIPS/IDS（Intrusion Prevention System/Intrusion Detection System：侵入防止・侵入検知システム）アプライアンスで検査する ・アプライアンスはセキュリティ専用VPCに集約して配置する ・アプライアンスは検査対象トラフィックの本来の送信元/宛先IPアドレスを参照できる必要がある ・アプライアンスのスケールアウト・スケールインに対応する 最も適切なネットワーク実装はどれですか？
Gateway Load Balancer（GWLB）はサードパーティの仮想ネットワークアプライアンスをAWSで透過的に運用するために設計されたサービスです。GENEVE（Generic Network Virtualization Encapsulation）プロトコル（ポート6081）でトラフィックをカプセル化することで、送信元・宛先のオリジナルIPアドレスを保持したままアプライアンスに転送できます。GWLBエンドポイントをスポークVPCのルートテーブルに組み込むことで透過的なインターセプトが実現し、ターゲットグループによる水平スケールにも対応します。 選択肢AのAWS Network Firewallはマネージドファイアウォールサービスであり、サードパーティアプライアンスへのプロキシとしては設計されていません。スポークVPC内への分散配置はコストと管理の増大をもたらします。 選択肢CのTransit Gateway + Appliance Modeも検査VPCへのトラフィック誘導は可能ですが、NLBではGENEVEのようなIP透過カプセル化がなく、アプライアンスがオリジナルIPを参照するには追加設定が必要です。GWLBがこのユースケースのAWS推奨ソリューションです。 選択肢DのALBはHTTP/HTTPSのレイヤー7に特化したロードバランサーで、任意プロトコルの透過的インライン検査には対応しておらず、本要件には不適切です。