ある金融サービス企業は、複数のスポーク VPC から発生するすべての Ingress/Egress トラフィックをサードパーティ製 IDS/IPS アプライアンスでインライン検査することをセキュリティポリシーで義務付けられています。以下の要件があります。 ・送信元 IP を保持する透過型（トランスペアレント）インライン検査が必要 ・トラフィック量に応じてアプライアンスを自動でスケールアウト/インさせること ・検査機能は集中型セキュリティ VPC に一元化すること ・サードパーティアプライアンスは GENEVE（Generic Network Virtualization Encapsulation）プロトコルによるカプセル化に対応している
Gateway Load Balancer（GWLB）はサードパーティ製ネットワークアプライアンスのインライン透過型挿入に特化したサービスです。GENEVE プロトコルでパケットをカプセル化してアプライアンスに転送するため、送信元 IP を含む元のパケットヘッダーが保持されます。Auto Scaling グループと組み合わせることでアプライアンスの自動スケールが可能で、集中型セキュリティ VPC に GWLB を配置し各スポーク VPC に Gateway Load Balancer Endpoint（GWLBE）を作成することで一元化された検査基盤が実現します。 選択肢Aの AWS Network Firewall は AWS マネージドのファイアウォールサービスであり、サードパーティアプライアンスを使用する要件と GENEVE カプセル化への対応要件を満たせません。 選択肢Cの Application Load Balancer はレイヤー7（HTTP/HTTPS）専用であり、すべてのプロトコルに対する透過型検査に対応していません。また ALB は送信元 IP を変更するため送信元 IP 保持の要件も満たせません。 選択肢Dの VPC トラフィックミラーリングはアウトオブバンド方式であるため、悪意あるトラフィックをリアルタイムにブロックするインライン IPS 機能を実現できません。検知とアラートは可能でも、遮断が必要な要件には対応できません。