Q87 — AWS ANS-C01 第1章

第 87/100 题 | ← 返回第1章

一家公司需要临时扩展本地应用程序的容量，并希望在 Amazon EC2 实例上部署新服务器。一名网络工程师必须为 AWS 上的连接及应用程序设计网络解决方案。 EC2 实例需要与本地数据中心中的现有服务器共享数据。这些服务器不得从互联网访问。所有出站互联网流量必须经由本地数据中心的防火墙路由。这些服务器必须能够访问第三方 Web 应用程序。 以下哪种配置能满足这些要求？

• A. 创建一个具有公有子网和私有子网的 VPC。创建客户网关、虚拟私有网关和 AWS Site-to-Site VPN 连接。在公有子网中创建 NAT 网关。创建一个路由表，并将公有子网与此路由表关联。添加一条默认路由指向互联网网关。创建一个路由表，并将私有子网与此路由表关联。添加一条默认路由指向 NAT 网关。为数据中心子网添加指向虚拟私有网关的路由。将应用程序部署到私有子网。
• B. 创建一个仅含私有子网的 VPC。创建客户网关、虚拟私有网关和 AWS Site-to-Site VPN 连接。创建一个路由表，并将私有子网与此路由表关联。添加一条默认路由指向虚拟私有网关。将应用程序部署到私有子网。 ✓
• C. 创建一个仅含公有子网的 VPC。创建客户网关、虚拟私有网关和 AWS Site-to-Site VPN 连接。创建一个路由表，并将公有子网与此路由表关联。添加一条默认路由指向互联网网关。为本地数据中心子网添加指向虚拟私有网关的路由。将应用程序部署到公有子网。
• D. 创建一个具有公有子网和私有子网的 VPC。创建客户网关、虚拟私有网关和 AWS Site-to-Site VPN 连接。创建一个路由表，并将公有子网与此路由表关联。添加一条默认路由指向互联网网关。创建一个路由表，并将私有子网与此路由表关联。为本地数据中心子网添加指向虚拟私有网关的路由。将应用程序部署到私有子网。

正确答案: B. 创建一个仅含私有子网的 VPC。创建客户网关、虚拟私有网关和 AWS Site-to-Site VPN 连接。创建一个路由表，并将私有子网与此路由表关联。添加一条默认路由指向虚拟私有网关。将应用程序部署到私有子网。

解析

为了满足题目中的需求，需要构建一个 AWS VPC（Virtual Private Cloud）环境，其中服务器不应从互联网直接访问，但应能访问第三方 Web 应用和内部数据中心。选项 B 正确地设置了只有私有子网，并通过 AWS Site-to-Site VPN 连接与内部数据中心进行通信。这样的配置确保了 EC2 实例可以安全地访问内部数据中心的资源，同时通过 VPN 路由所有互联网流量经过内部数据中心的防火墙。选项 A 和 D 都包含了公有子网，这违反了“服务器必须从互联网隔离”的要求。选项 C 虽然只使用公有子网，但部署应用于公有子网也不符合安全需求。因此，选项 B 是正确答案。