ある金融機関は、コンプライアンス要件により、VPC内のすべてのインバウンドおよびアウトバウンドトラフィックを特定のサードパーティベンダーが提供するIDS/IPS（不正侵入検知・防止システム）アプライアンスにインラインで通過させる必要があります。このアプライアンスはIPパケットを検査し、脅威を検出した場合はトラフィックをドロップします。ソースIPアドレスを保持した透過的（Transparent）なインライン検査を実現し、トラフィック増加に応じてアプライアンスをスケールアウトできるアーキテクチャとして最適なものはどれですか？
AWS Gateway Load Balancer（GWLB）は、サードパーティのネットワークアプライアンス（IDS/IPS、ファイアウォール、DPI装置）をAWS上で透過的にインライン展開するために設計されたロードバランサーです。GWLBはGENEVEプロトコル（ポート6081）を使用してオリジナルのパケットをカプセル化してアプライアンスへ送信し、アプライアンスが検査・許可した後にGWLBが元のトラフィックフローに戻します。これによりソースIPアドレスを変更せずに透過的なインライン検査が実現します。 GWLBエンドポイント（GWLBe）はVPCエンドポイントサービスとして機能し、検査対象VPCのルートテーブルでGWLBe経由のルートを設定することでトラフィックをアプライアンスVPCへ誘導します。ターゲットグループに複数のアプライアンスインスタンスを登録することでAuto Scalingによるスケールアウトも実現できます。 選択肢AのNLBはTCPレベルのロードバランシングには適していますが、アプライアンスで検査後に元の宛先へ透過的にトラフィックを返却する仕組みを持たないため、ソースIPアドレスの保持と透過的インライン検査を同時に実現するアーキテクチャの構築が複雑になります。 選択肢CのTransit GatewayによるセントラルインスペクションVPCはアーキテクチャパターンとして有効ですが、サードパーティアプライアンスをスケーラブルかつ透過的に運用するにはGWLBとの組み合わせが必要であり、GWLBなしのEC2ベースIDS/IPSでは透過性とスケーリングの確保が困難です。 選択肢DのAWS Network FirewallはAWSマネージドのステートフルファイアウォールであり、Suricataルールには対応していますが、コンプライアンス要件で指定された「特定のサードパーティベンダーのIDS/IPSアプライアンス」を使用するという要件を満たしません。