Una aplicación SaaS utiliza dos enlaces redundantes de Direct Connect de 10 Gbps a una coubicación y debe comenzar a cifrar el tráfico entre AWS y los routers de borde de la coubicación, manteniendo el mismo ancho de banda. La coubicación ya tiene cifrado a la red on-prem. La empresa desea la solución con la menor sobrecarga operativa. ¿Qué debe hacer un ingeniero de redes?

La opción correcta es implementar un nuevo par de conexiones Direct Connect de 10 GB con MACsec y configurarlo en los routers de borde. MACsec (Media Access Control Security) es un estándar de seguridad de capa 2 que proporciona cifrado punto a punto en las conexiones Direct Connect, manteniendo el ancho de banda completo de 10 Gbps. Esto cumple con el requisito de cifrar el tráfico sin reducir el rendimiento y tiene la menor sobrecarga operativa porque el cifrado se maneja a nivel de hardware en la capa de enlace. Las otras opciones son incorrectas porque: Implementar una nueva VIF pública con cifrado no especifica el tipo de cifrado y una VIF pública se usa para acceder a servicios públicos de AWS, no para cifrar el tráfico privado entre AWS y la coubicación. Crear un virtual private gateway e implementar VPNs Site-to-Site sobre Direct Connect introduce una sobrecarga de rendimiento debido al cifrado IPsec, lo que probablemente reduciría el ancho de banda efectivo por debajo de los 10 Gbps. La última opción, aunque incluye MACsec, también sugiere implementar VPNs Site-to-Site sobre la VIF pública, lo cual es innecesario y añade complejidad y sobrecarga de rendimiento cuando MACsec ya proporciona el cifrado requerido a nivel de capa 2.