Dos VPC de producción (VPC A y VPC B) abarcan todas las AZ en us-east-1. Una nueva regulación exige que todo el tráfico entre estas VPC de producción sea inspeccionado. La compañía implementó una VPC compartida con un firewall con estado y un "transit gateway attachment" en todas las VPC para que el tráfico entre la VPC A y la VPC B se enrute a través del firewall. Durante las pruebas, el "transit gateway" descarta el tráfico cuando fluye entre dos zonas de disponibilidad. ¿Qué cambio debería hacer el ingeniero de red para solucionar esto con la MENOR sobrecarga de gestión?

La opción correcta es habilitar el "transit gateway appliance mode" en el "VPC attachment" de la VPC compartida. Esto es necesario porque cuando el tráfico se enruta a través de un dispositivo de firewall en una VPC central (como la VPC compartida), el Transit Gateway puede ver que el tráfico sale y vuelve a entrar en la misma VPC a través del mismo attachment. Sin el "appliance mode", el Transit Gateway asume que el tráfico está en un bucle y lo descarta para evitar problemas de enrutamiento asimétrico. El "appliance mode" le indica al Transit Gateway que el dispositivo de firewall gestiona el estado del tráfico, permitiendo que el tráfico fluya correctamente. Las otras opciones son incorrectas: Reemplazar el "VPC attachment" con un "VPN attachment" y configurar BGP aumenta significativamente la sobrecarga de gestión y no es necesario. Habilitar el "transit gateway appliance mode" en la VPC A y la VPC B no resuelve el problema, ya que el dispositivo de firewall está en la VPC compartida. Configurar "VPC peering connections" no permite el enrutamiento centralizado a través del firewall de manera escalable y no es la solución adecuada para este patrón.