Un VPN Site-to-Site entre une passerelle de transit et un environnement sur site utilise BGP sur deux tunnels avec ECMP actif/actif sur la passerelle de transit. Le trafic provenant de l'environnement sur site sort par le tunnel A, mais le trafic de retour EC2 revient par le tunnel B et est abandonné au niveau de la passerelle client. L'ingénieur doit résoudre ce problème sans réduire la bande passante VPN totale. Que doit-il faire ?

Le routage asymétrique se produit lorsque les paquets sortants et entrants empruntent des chemins différents. Dans ce scénario, le trafic sortant utilise le tunnel A, mais le trafic de retour utilise le tunnel B et est abandonné par le pare-feu de la passerelle client, qui s'attend à voir le trafic de retour sur le même tunnel que le trafic sortant. Pour résoudre ce problème sans réduire la bande passante, la passerelle client doit être configurée pour autoriser le routage asymétrique sur ses interfaces de tunnel virtuel, ce qui permet aux paquets de retour d'être acceptés même s'ils arrivent sur un tunnel différent de celui par lequel ils sont partis. Les autres options sont incorrectes : Le préfixage de chemin AS et la préférence locale sont des mécanismes BGP pour influencer le routage, mais ils ne résolvent pas le problème de l'abandon du trafic par le pare-feu de la passerelle client en raison du routage asymétrique. Définir un tunnel comme principal dans les options VPN Site-to-Site forcerait tout le trafic à utiliser un seul tunnel, réduisant ainsi la bande passante totale et désactivant l'ECMP actif/actif. Le passage au routage statique éliminerait l'ECMP et réduirait la flexibilité, sans résoudre directement le problème du pare-feu de la passerelle client.