Uma empresa está migrando para a AWS usando um design hub-and-spoke com Transit Gateway. Sua rede MPLS on-premises impõe segmentação usando MPLS VPNs com separação VRF. Dois links Direct Connect de 10 Gbps fornecem conectividade resiliente e de alta velocidade. A equipe de segurança precisa replicar a segmentação VRF do MPLS na AWS, suportando espaços de endereço sobrepostos para múltiplas MPLS VPNs e minimizando a sobrecarga operacional. Qual solução atende a esses requisitos com o menor esforço operacional contínuo?

A opção correta é configurar um anexo Transit Gateway Connect para cada MPLS VPN e uma tabela de rotas do Transit Gateway correspondente. O Transit Gateway Connect permite o encapsulamento GRE e o suporte a BGP, o que é essencial para replicar a segmentação VRF do MPLS e suportar espaços de endereço sobrepostos. Cada anexo Connect pode ser associado a uma tabela de rotas específica do Transit Gateway, isolando o tráfego de cada MPLS VPN e permitindo a sobreposição de endereços IP. Isso minimiza a sobrecarga operacional contínua, pois o Transit Gateway gerencia o roteamento e a segmentação de forma nativa. A opção de SD-WAN introduz complexidade e custo adicionais com a implantação e gerenciamento de appliances virtuais e controladores. A configuração de VPNs IPsec separadas para cada MPLS VPN é inviável devido à limitação de túneis IPsec por conexão Direct Connect e à complexidade de gerenciamento. A criação de uma VPC de trânsito com VPNs IPsec VRF-aware não é uma funcionalidade nativa da AWS e também adicionaria complexidade.