Ein in den USA ansässiges Unternehmen fügt einen Hub-and-Spoke-Hub in eu-west-1 hinzu und verbindet ihn mit einer bestehenden us-east-1-Umgebung über eine Transit Gateway Peering-Verbindung. Jede Region verwendet eine Inspektions-VPC mit AWS Network Firewall, um die Inspektion zu zentralisieren. Um Kosten zu sparen, entscheidet der Ingenieur, dass der regionsübergreifende Datenverkehr in der Region inspiziert werden soll, in der der Datenverkehr seinen Ursprung hat, und passt die Transit Gateway-Routing-Tabellen entsprechend an. Die regionsinterne Kommunikation funktioniert, aber der regionsübergreifende Datenverkehr schlägt fehl. Welche Änderung wird das Problem der regionsübergreifenden Konnektivität beheben?

Der Appliance-Modus auf Transit Gateway-Anhängen ist entscheidend für die korrekte Funktion von Netzwerk-Appliances wie AWS Network Firewall, insbesondere in Hub-and-Spoke-Architekturen mit zentraler Inspektion. Ohne den Appliance-Modus behandelt Transit Gateway jeden Flow als unabhängig und kann den Rückverkehr über einen anderen Pfad als den Hinweg routen, was zu asymmetrischem Routing führt. Firewalls sind zustandsbehaftet und erwarten, dass sowohl der Hin- als auch der Rückverkehr durch dieselbe Appliance geleitet werden, um den Verbindungsstatus aufrechtzuerhalten. Wenn der Appliance-Modus aktiviert ist, stellt Transit Gateway sicher, dass der gesamte Verkehr für eine bestimmte Sitzung (Hin- und Rückweg) über denselben Anhang geleitet wird, was für die zustandsbehaftete Paketinspektion unerlässlich ist. Die anderen Optionen sind irrelevant oder falsch: OSPF wird nicht für Transit Gateway Peering verwendet; AWS RAM ist für die Freigabe von Ressourcen, nicht für das Routing; das Verhindern von asymmetrischem Routing ist das Ziel, nicht die Lösung selbst, und erfordert den Appliance-Modus.