Ein Unternehmen migriert zu AWS unter Verwendung eines Transit Gateway Hub-and-Spoke-Designs. Sein lokales MPLS-Netzwerk erzwingt die Segmentierung mithilfe von MPLS-VPNs mit VRF-Trennung. Zwei 10-Gbit/s-Direct Connect-Verbindungen bieten eine ausfallsichere Hochgeschwindigkeitskonnektivität. Das Sicherheitsteam muss die MPLS-VRF-Segmentierung in AWS replizieren, wobei überlappende Adressräume für mehrere MPLS-VPNs unterstützt und der Betriebsaufwand minimiert werden sollen. Welche Lösung erfüllt diese Anforderungen mit dem geringsten laufenden Betriebsaufwand?

Die korrekte Lösung nutzt Transit Gateway Connect-Anhänge, die GRE und BGP über eine Direct Connect-Verbindung verwenden. Dies ermöglicht die Übertragung von Routing-Informationen für jedes MPLS-VPN vom lokalen Netzwerk zum Transit Gateway. Durch die Konfiguration separater Transit Gateway-Routing-Tabellen für jedes MPLS-VPN kann die Segmentierung repliziert und überlappende IP-Adressräume unterstützt werden, da jede Routing-Tabelle isoliert ist. Dies minimiert den Betriebsaufwand, da BGP die Routen dynamisch austauscht und die Verwaltung von IPsec-VPNs für jedes Segment entfällt. Option A (SD-WAN) würde einen erheblichen Betriebsaufwand für die Bereitstellung und Verwaltung der SD-WAN-Infrastruktur bedeuten und ist nicht die nativste AWS-Lösung für diese Anforderung. Option B (IPsec-VPNs für jedes MPLS-VPN) würde einen hohen Betriebsaufwand für die Verwaltung zahlreicher IPsec-Tunnel und statischer Routen verursachen. Option C (Transit VPC mit Site-to-Site VRF-aware IPsec VPN) ist keine standardmäßige AWS-Funktion und würde eine komplexe Architektur erfordern.