Um ambiente híbrido usa uma conexão dedicada do Direct Connect de 10 Gbps com vários VIFs privados terminando em várias VPCs. Os regulamentos exigem a criptografia de todo o tráfego WAN, independentemente do transporte. A empresa precisa de criptografia que não reduza a largura de banda disponível. Qual opção atende a esse requisito?

A opção correta é provisionar uma nova conexão Direct Connect que suporte MACsec e associar os VIFs existentes a ela. O MACsec (802.1AE) é um padrão de segurança de camada 2 que criptografa o tráfego diretamente na porta do Direct Connect, antes mesmo de chegar ao roteador do cliente. Isso garante a criptografia de todo o tráfego WAN sem impactar significativamente a largura de banda, pois a criptografia ocorre em hardware dedicado. As outras opções são incorretas: Criar um VIF público e configurar uma AWS Site-to-Site VPN sobre ele usaria uma VPN IPsec, que é uma solução de camada 3 e incorreria em sobrecarga de processamento, reduzindo a largura de banda efetiva. Configurar MACsec em uma conexão Direct Connect existente e alterar o modo para mustencrypt não é possível se a conexão original não foi provisionada com suporte a MACsec. O MACsec é um recurso que precisa ser habilitado na criação da conexão Direct Connect. Criar um VIF público para uma VPN de IP privado não é uma solução padrão da AWS e não atenderia aos requisitos de criptografia de forma eficiente ou integrada.