【正解】A、C、F
【0からの解説】
本問は Gateway Load Balancer (GWLB) を使ったインライン検査アーキテクチャの典型問題です。GWLB は、サードパーティ製のファイアウォール/IDS/IPS アプライアンスをスケーラブルに配置し、すべてのトラフィックを透過的にそれらへ「バンプ・イン・ザ・ワイヤ」で流す仕組みを提供します。GWLB はターゲット（アプライアンス）と GENEVE プロトコル（UDP ポート 6081）でトラフィックをやり取りします。
正しい設計の要点は次の通りです。
■ A：検査用のアプライアンスは専用の VPC（検査用/セキュリティ用 VPC）に分離してデプロイし、そこに GWLB を作成してアプライアンスをターゲット登録するのがベストプラクティスです。アプライアンスと GWLB を別 VPC に分離することで、管理・スケーリングを独立して行えます。
■ C：アプライアンス用のセキュリティグループでは、GWLB がトラフィックをカプセル化して送る GENEVE のポート 6081（UDP）を許可する必要があります。これがないと GWLB からアプライアンスへトラフィックが届きません。加えてヘルスチェック用のポートも許可します。検査対象のウェブトラフィックがたまたま 443 であっても、GWLB→アプライアンス間は 6081 でカプセル化されるため、許可すべきは 6081 です（B の 443 ではない）。
■ F：ウェブサーバー VPC 側では、インターネットとの送受信トラフィックを GWLB エンドポイント (GWLBe) 経由で検査 VPC に流すよう、複数のルートテーブルを正しく設定します。具体的には、(1) インターネットゲートウェイに「エッジアソシエーション」したルートテーブルを新規作成し、IGW から入ってくるトラフィックを GWLB エンドポイントへ向ける、(2) ウェブサーバーのサブネットのルートテーブルでインターネット向けトラフィックを GWLB エンドポイントへ向ける、(3) GWLB エンドポイントのサブネットのルートテーブルでインターネット向けを IGW へ向ける、という三方向のルーティングを構成します。E はこの「IGW へのエッジアソシエーションを伴う新ルートテーブル作成」が欠けているため不完全で、それを含む F が正解です。
したがって A・C・F の組み合わせが正解です。
【誤りの選択肢】
B：許可ポートが 443 となっていますが、GWLB とアプライアンス間は GENEVE のポート 6081 でカプセル化されるため、6081 を許可しなければなりません。443 では GWLB からのトラフィックが届かず誤りです。
D：アプライアンスを既存のウェブサーバー VPC に同居させる構成です。検査アプライアンスは専用 VPC に分離するのがベストプラクティス（A）であり、同居はスケーリングや管理の分離を損なうため最適ではありません。
E：F とほぼ同内容ですが、IGW へのエッジアソシエーション用の新しいルートテーブルを作成するステップが欠けています。インターネットからの戻り/入りトラフィックを検査経路へ向けるにはエッジアソシエーションが必須であり、それを含む F の方が正しい完全な手順です。
【参考】
AWS Gateway Load Balancer とはGateway Load Balancer エンドポイントとルーティング (Geneve / ポート 6081)