Um aplicativo SaaS usa dois links redundantes de 10 Gbps do Direct Connect para uma colocation e deve começar a criptografar o tráfego entre a AWS e os roteadores de borda da colocation, mantendo a mesma largura de banda. A colocation já possui criptografia para a rede on-prem. A empresa deseja a solução com a menor sobrecarga operacional. O que um engenheiro de rede deve fazer?

A solução mais eficiente e com menor sobrecarga operacional para criptografar o tráfego Direct Connect, mantendo a largura de banda de 10 Gbps, é usar MACsec (Media Access Control Security). O MACsec criptografa o tráfego na camada 2, diretamente nas conexões Direct Connect, sem impactar o throughput. As outras opções introduzem complexidade ou limitações. Criar um novo VIF público com criptografia não é uma opção padrão para criptografia de tráfego Direct Connect de ponta a ponta. Usar AWS Site-to-Site VPN sobre Direct Connect (mesmo com VIF privado ou público) adiciona sobrecarga de encapsulamento e processamento, podendo reduzir a largura de banda efetiva e aumentar a latência, além de exigir o gerenciamento de túneis IPsec. A opção de implantar novas conexões Direct Connect com MACsec e configurar nos roteadores de borda atende aos requisitos de criptografia na velocidade da linha e baixa sobrecarga.