Uma grande empresa executa workloads em VPCs em centenas de contas AWS. Cada VPC tem sub-redes públicas e privadas em várias AZs; NAT gateways em sub-redes públicas fornecem acesso à internet para sub-redes privadas. Em um design hub-and-spoke, todas as sub-redes privadas nas VPCs spoke devem enviar tráfego de saída para a internet através de um NAT gateway localizado em uma VPC de egresso centralizada em uma conta central. Um NAT gateway já existe nessa VPC de egresso. Quais etapas adicionais o arquiteto de soluções deve seguir para atender ao requisito?

A opção correta é usar um AWS Transit Gateway. Ele é projetado para conectar milhares de VPCs e redes on-premises, simplificando o gerenciamento de rede em escala. Ao anexar todas as VPCs (spokes e egresso) ao Transit Gateway e configurar as tabelas de rotas apropriadamente, o tráfego das VPCs spoke pode ser direcionado para o NAT Gateway centralizado na VPC de egresso para acesso à internet. A criação de conexões de emparelhamento de VPC (VPC Peering) entre centenas de VPCs é inviável e não escalável, pois o emparelhamento é um relacionamento um-para-um e não suporta roteamento transitivo. Criar um Transit Gateway em cada conta adicionaria complexidade e custo desnecessários, além de não centralizar o egresso. O AWS PrivateLink é para acesso privado a serviços e não para roteamento de tráfego de internet para um NAT Gateway centralizado.