Una empresa implementa aplicaciones en múltiples VPC conectadas a un Transit Gateway. Cualquier VPC que envíe tráfico con destino a Internet debe enrutarse a través de una VPC de servicios compartidos. Cada subred de VPC utiliza la tabla de ruteo predeterminada de la VPC que apunta al Transit Gateway; el Transit Gateway utiliza su tabla de ruteo predeterminada para las conexiones de VPC. Una auditoría de seguridad muestra que una instancia EC2 en una VPC puede comunicarse con instancias EC2 en cualquier otra VPC de la empresa. Cada VPC solo debería poder comunicarse con un conjunto específico y limitado de VPC autorizadas. ¿Qué debe hacer el arquitecto de soluciones para aplicar esto?

La creación de una tabla de ruteo dedicada en el Transit Gateway para cada conexión de VPC permite un control granular sobre qué VPC pueden comunicarse entre sí. Al asociar cada conexión de VPC a su propia tabla de ruteo y configurar rutas específicas, se puede asegurar que el tráfico solo se dirija a las VPC autorizadas, implementando así el aislamiento deseado. Las ACL de red (Network ACLs) operan a nivel de subred y son sin estado, lo que las hace difíciles de gestionar para un control de comunicación entre VPCs a gran escala. Los grupos de seguridad (Security Groups) son con estado y se aplican a nivel de instancia, pero no controlan el enrutamiento del tráfico entre VPCs a través del Transit Gateway. Modificar la tabla de ruteo principal en cada VPC no es suficiente porque el Transit Gateway sigue utilizando su tabla de ruteo predeterminada, permitiendo el acceso a todas las VPC conectadas.