Q83 — AWS SAA-C03 第17章

第 83/89 题 | ← 返回第17章

Q1383. 一家公司创建了一个包含一个公有子网和一个私有子网的 VPC。该公司将一个互联网网关连接到该 VPC。公有子网中的应用程序负载均衡器 (ALB) 与私有子网中的 Amazon EC2 实例通信。私有子网中的 EC2 实例必须能够从互联网下载操作系统和应用程序更新。这些实例不得从互联网访问。哪些步骤组合能够满足这些要求?（选择三项。）

• A. 将弹性 IP 地址与 NAT 网关关联。 ✓
• B. 在私有子网路由表中添加 0.0.0.0/0 路由。将 NAT 网关设置为目标地址。 ✓
• C. 在公共子网中部署 NAT 网关。 ✓
• D. 在私有子网中部署 NAT 网关。
• E. 在公网路由表中添加 0.0.0.0/0 路由。将 NAT 网关设置为目标地址。
• F. 将弹性 IP 地址与互联网网关关联。

正确答案: A. 将弹性 IP 地址与 NAT 网关关联。, B. 在私有子网路由表中添加 0.0.0.0/0 路由。将 NAT 网关设置为目标地址。, C. 在公共子网中部署 NAT 网关。

解析

该问题需要允许私有子网中的 EC2 实例从互联网下载更新，同时保持这些实例无法从互联网访问。关键在于使用 NAT 网关，它允许私有子网实例访问互联网，同时避免其受到入站流量的影响。以下是各种方案的分析:正确选项:C. 在公网子网部署 NAT 网关NAT 网关必须位于公有子网中才能通过连接的互联网网关 (IGW) 访问互联网。将其置于私有子网中（选项 D）会使其与 IGW 隔离，从而失效。B. 在私有子网路由表中添加一条 0.0.0.0/0 的路由。将 NAT 网关设置为目标。私有子网的路由表必须将所有出站流量 (0.0.0.0/0) 定向到 NAT 网关。这样，私有子网中的实例就可以通过 NAT 网关访问互联网，同时自身又无法从互联网访问。A. 将弹性 IP 地址与 NAT 网关关联NAT 网关需要弹性 IP (EIP) 才能与互联网通信。EIP 提供静态公网 IP 地址，确保私有子网实例的出站连接稳定可靠。错误选项:D. 在私有子网中部署 NAT 网关私有子网中的 NAT 网关无法访问互联网，因为它缺少到位于公共子网中的 IGW 的路径。E. 在公有子网路由表中添加 0.0.0.0/0 路由。将 NAT 网关设置为目标。公有子网的路由表应将流量定向到 IGW（而非 NAT 网关）以访问互联网。NAT 网关仅用于私有子网流量。F. 将弹性 IP 地址 (EIP) 与互联网网关关联。IGW 不需要 EIP。它会自动处理 VPC 的公有 IP 地址。EIP 分配给 NAT 网关，而不是 IGW。最终答案:A、B、C在公有子网中部署 NAT 网关 (C)，配置私有子网的路由表以使用该 NAT 网关 (B)，并将弹性 IP 地址 (EIP) 与该 NAT 网关关联 (A)。此设置允许私有子网实例下载更新，同时保持无法从 Internet 访问。