Une entreprise basée aux États-Unis ajoute un hub hub-and-spoke dans eu-west-1 et le connecte à un environnement us-east-1 existant avec une connexion de peering de transit gateway. Chaque Région utilise un VPC d'inspection avec AWS Network Firewall pour centraliser l'inspection. Pour réduire les coûts, l'ingénieur décide que le trafic inter-Régions doit être inspecté dans la Région d'origine du trafic et ajuste les tables de routage de la transit gateway en conséquence. La communication intra-Région fonctionne, mais le trafic inter-Régions échoue. Quel changement résoudra le problème de connectivité inter-Régions ?

Le mode Appliance sur les attachements de la Transit Gateway est essentiel pour les architectures d'inspection centralisée comme AWS Network Firewall. Lorsque le trafic traverse le VPC d'inspection, il est souvent acheminé vers une appliance (le Network Firewall) puis renvoyé à la Transit Gateway. Sans le mode Appliance activé, la Transit Gateway peut voir le trafic revenir de l'appliance avec une adresse IP source différente de celle attendue, ce qui entraîne un routage asymétrique et des échecs de connexion. L'activation de ce mode garantit que la Transit Gateway traite le trafic de manière symétrique, permettant aux requêtes et aux réponses de passer correctement par le pare-feu. Les autres options sont incorrectes : OSPF n'est pas utilisé pour le peering de Transit Gateway ; les tables de routage sont gérées par la Transit Gateway elle-même. AWS RAM est utilisé pour le partage de ressources, mais n'affecte pas le routage du trafic inter-régions de cette manière. L'option sur le routage asymétrique décrit le problème mais ne propose pas la solution technique spécifique pour la Transit Gateway.