Uma empresa implanta aplicações em múltiplas VPCs anexadas a um Transit Gateway. Qualquer VPC que envia tráfego para a internet deve rotear através de uma VPC de serviços compartilhados. Cada sub-rede da VPC usa a tabela de rotas padrão da VPC apontando para o Transit Gateway; o Transit Gateway usa sua tabela de rotas padrão para anexos de VPC. Uma auditoria de segurança mostra que uma instância EC2 em uma VPC pode se comunicar com instâncias EC2 em qualquer outra VPC da empresa. Cada VPC deve ser capaz de se comunicar apenas com um conjunto específico e limitado de VPCs autorizadas. O que o arquiteto de soluções deve fazer para impor isso?

A criação de tabelas de rotas dedicadas no Transit Gateway para cada anexo de VPC permite um controle granular sobre quais VPCs podem se comunicar entre si. Ao associar cada anexo a uma tabela de rotas específica e configurar as rotas para incluir apenas as VPCs autorizadas, você garante que o tráfego só possa fluir entre os destinos permitidos. Alterar ACLs de rede (A) ou Security Groups (B) para negar tráfego de saída não é escalável nem eficiente para controlar a comunicação entre VPCs em um Transit Gateway. ACLs de rede são sem estado e operam no nível da sub-rede, enquanto Security Groups são com estado e operam no nível da instância, tornando-os inadequados para gerenciar rotas de tráfego entre VPCs de forma centralizada. Modificar a tabela de rotas principal em cada VPC (D) não resolveria o problema, pois o Transit Gateway ainda usaria sua tabela de rotas padrão, permitindo a comunicação irrestrita entre as VPCs conectadas.