Um provedor de SaaS migrou um aplicativo SaaS privado para a AWS. Centenas de clientes se conectam de vários data centers usando VPNs e regras NAT complexas. Após a migração, os clientes baseados na AWS devem acessar o aplicativo SaaS diretamente de suas VPCs, enquanto os clientes on-premises devem continuar usando túneis IPsec. Qual design satisfaz essas necessidades?

A opção correta é usar o AWS PrivateLink para clientes AWS e um appliance de roteamento de terceiros para VPNs on-premises. O PrivateLink permite que os clientes AWS acessem o aplicativo SaaS de forma privada e segura, sem expor o tráfego à internet pública e sem a complexidade de gerenciar peering ou gateways de trânsito para cada cliente. Um appliance de roteamento de terceiros na VPC do SaaS pode gerenciar as VPNs Site-to-Site dos clientes on-premises, oferecendo flexibilidade para lidar com regras NAT complexas e requisitos específicos que podem não ser totalmente suportados pelo Virtual Private Gateway (VGW) nativo da AWS em cenários de múltiplos clientes e NAT. A opção de gateway de trânsito compartilhado seria complexa para gerenciar centenas de clientes e não oferece a mesma simplicidade e segurança do PrivateLink para clientes AWS. O peering de cada VPC de cliente AWS com a VPC do SaaS não escala para centenas de clientes, devido aos limites de peering e à complexidade de gerenciamento. Criar túneis VPN Site-to-Site de cada VPC de cliente AWS para a VPC do SaaS é ineficiente e não é a prática recomendada para conectividade entre VPCs na AWS.