ある企業は、インターネットからVPC内のWebアプリケーションへのインバウンドトラフィックに対して、サードパーティIDS/IPSアプライアンスによるL3/L4インスペクションを実施したいと考えています。要件は以下の通りです。 ・インスペクションアプライアンスが元の送信元・宛先IPアドレスを確認できること ・アプライアンスがEC2 Auto Scalingグループで管理され、自動スケールアウト/インできること ・アプライアンス障害時に自動フェイルオーバーすること ・アプライアンス設定変更を最小限に抑えること 最適な実装はどれか？
Gateway Load Balancer（GWLB）は、サードパーティネットワークアプライアンスを透過的にインライン挿入するために設計されたロードバランサーです。GENEVEプロトコル（UDP 6081番ポート）を使用してパケットをカプセル化することで、元の送信元・宛先IPアドレスを含む完全なL3/L4パケット情報をアプライアンスに届けます。アプライアンスは元のパケットをそのまま確認しながらインスペクションを実施できます。 GWLBはEC2 Auto Scalingグループをバックエンドターゲットとして設定でき、需要に応じたアプライアンスの自動スケールと障害検知時の自動フェイルオーバーをマネージドで提供します。GWLBエンドポイントをVPCのルートテーブルに設定することで、アプライアンス設定を変更せずに透過的な挿入（バンプ・イン・ザ・ワイヤ）が実現できます。 選択肢AのNLBはProxy Protocol v2によりソースIPを保持できますが、GENEVEカプセル化による完全パケット透過転送機能はなく、インライン検査アプライアンスとして透過的に挿入するGWLBの用途とは設計が異なります。 選択肢BのALBはL7ロードバランサーでHTTP/HTTPSのみを処理し、X-Forwarded-ForはHTTPレイヤーでのIP情報伝達であり、L3/L4生パケットの透過的なインスペクションには対応していません。 選択肢DのTGW Appliance Modeはフロー対称性を保つための機能であり、ロードバランシングや自動スケール機能は提供しません。GWLBとの組み合わせで使用するのが一般的なアーキテクチャです。