Uma empresa tem dispositivos de segurança com estado (stateful security appliances) implantados em várias AZs dentro de uma VPC de serviços compartilhados centralizada. Um transit gateway anexa VPCs de aplicação e a VPC de serviços compartilhados. As cargas de trabalho da aplicação são executadas em sub-redes privadas em várias AZs. Os dispositivos com estado inspecionam todo o tráfego leste-oeste (east-west) de VPC para VPC. Os usuários relatam que o tráfego entre cargas de trabalho em diferentes Availability Zones está sendo descartado. Pings ICMP entre cargas de trabalho em diferentes AZs falham. Grupos de segurança, configurações de dispositivos e ACLs de rede foram descartados como causas. O que está causando o descarte do tráfego?

Quando dispositivos de segurança com estado (stateful) são usados para inspecionar o tráfego entre diferentes AZs via Transit Gateway, é crucial que o appliance mode esteja habilitado no anexo do Transit Gateway para a VPC onde os dispositivos estão localizados. Sem o appliance mode, o Transit Gateway pode rotear o tráfego de retorno para uma instância de dispositivo diferente daquela que processou o tráfego inicial, causando a queda da conexão devido à natureza com estado do dispositivo. As outras opções estão incorretas porque: A localização dos dispositivos e anexos em sub-redes separadas ou na mesma sub-rede não é a causa direta do descarte do tráfego com estado entre AZs. O appliance mode é necessário na VPC que contém os dispositivos de segurança (VPC de serviços compartilhados), não nas VPCs de aplicação, pois é ali que o roteamento assimétrico pode ocorrer.