Eine SaaS-Anwendung nutzt zwei redundante 10-Gbit/s-Direct Connect-Verbindungen zu einem Colocation-Rechenzentrum und muss den Datenverkehr zwischen AWS und den Edge-Routern des Colocation-Rechenzentrums verschlüsseln, während die gleiche Bandbreite beibehalten wird. Das Colocation-Rechenzentrum verfügt bereits über eine Verschlüsselung zum lokalen Netzwerk. Das Unternehmen wünscht sich die Lösung mit dem geringsten Betriebsaufwand. Was sollte ein Netzwerkingenieur tun?

Die korrekte Option ist die Bereitstellung neuer Direct Connect-Verbindungen mit MACsec. MACsec (Media Access Control Security) ist eine Schicht-2-Verschlüsselung, die auf den Direct Connect-Verbindungen selbst implementiert wird und die volle Bandbreite von 10 Gbit/s beibehält, während der Betriebsaufwand minimal ist, da keine zusätzlichen VPN-Tunnel oder Software-Overheads erforderlich sind. Die Bereitstellung einer neuen öffentlichen VIF mit Verschlüsselung ist nicht ausreichend, da eine öffentliche VIF typischerweise für den Zugriff auf öffentliche AWS-Dienste verwendet wird und die Verschlüsselung auf dieser Ebene oft IPsec-basiert ist, was die Bandbreite reduzieren könnte. Das Erstellen eines Virtual Private Gateways und neuer AWS Site-to-Site VPN-Verbindungen würde IPsec-Verschlüsselung verwenden, die die Bandbreite der 10-Gbit/s-Direct Connect-Verbindungen erheblich reduzieren würde, da IPsec CPU-intensiv ist und einen Overhead verursacht. Die Bereitstellung neuer Direct Connect-Verbindungen mit MACsec und zusätzlichen Site-to-Site VPNs wäre überflüssig und würde den Betriebsaufwand unnötig erhöhen, da MACsec bereits die erforderliche Verschlüsselung auf Layer 2 bietet, ohne die Bandbreite zu beeinträchtigen.