あるネットワークエンジニアが、同一AWSアカウント内で新しいVPCセグメンテーション設計（開発VPCと本番VPCを分離する構成）を本番環境へ適用する前に、設計の妥当性を検証しています。具体的な要件は以下の通りです。 要件： 1. 開発VPC内のプライベートサブネットにあるEC2インスタンスが、本番VPC内のデータベースサブネットにあるRDSインスタンスに到達できないことをAWSで検証する 2. 実際のテストトラフィックを本番環境に一切送信しない（本番環境への影響ゼロ） 3. もし到達可能と判定された場合、どのネットワークコンポーネント（セキュリティグループ、NACL、ルートテーブル、Transit Gatewayルートなど）が通信を許可しているかを特定できる 4. 単一の送信元・宛先ペアに対してホップバイホップの詳細経路分析を行う この要件に最も適切なAWSツールはどれですか？
VPC Reachability Analyzerは、実際のパケットを送信することなく、指定した送信元ENIから宛先ENIへの到達可能性をネットワーク構成の論理分析（セキュリティグループルール、NACLルール、ルートテーブル、Transit Gatewayルートテーブルなど）によって検証するサービスです。「到達不可能」の場合は遮断しているコンポーネントとその具体的なルールをホップバイホップで特定でき、「到達可能」の場合は経路の詳細を確認できます。本番環境への影響なく実行でき、要件1〜4をすべて満たします。 選択肢Aは誤りです。VPC Traffic Mirroringは実際に流れているトラフィックをENIレベルでコピーしてキャプチャするサービスです。そもそも実トラフィックが存在しなければミラーリングできないため、要件2（テストトラフィックを送信しない）に反します。 選択肢Bは誤りです。AWS Network Access Analyzerは、定義したネットワークアクセス要件スコープに対して意図しないアクセスパスを広く検出するのに適したサービスです。ただし特定の1対1ペアに対するホップバイホップ詳細分析（要件4）にはReachability Analyzerの方が適切です。 選択肢Dは誤りです。VPCフローログは実際にトラフィックが発生した場合にのみログが生成されます。実トラフィックを送信しない要件2に反するうえ、テストトラフィックを意図的に送信しなければREJECTログも記録されません。