Une entreprise déploie des applications dans plusieurs VPC attachés à une Transit Gateway. Tout VPC qui envoie du trafic destiné à Internet doit passer par un VPC de services partagés. Chaque sous-réseau VPC utilise la table de routage VPC par défaut pointant vers la Transit Gateway ; la Transit Gateway utilise sa table de routage par défaut pour les attachements VPC. Un audit de sécurité montre qu'une instance EC2 dans un VPC peut communiquer avec des instances EC2 dans n'importe quel autre VPC de l'entreprise. Chaque VPC ne devrait pouvoir communiquer qu'avec un ensemble spécifique et limité de VPC autorisés. Que doit faire l'architecte de solutions pour appliquer cela ?

La création de tables de routage Transit Gateway dédiées pour chaque attachement VPC permet un contrôle granulaire du routage inter-VPC. En configurant chaque table de routage pour qu'elle ne propage que les routes vers les VPC autorisés, vous isolez le trafic et empêchez la communication non autorisée. Les ACL réseau (Network ACLs) sont sans état et difficiles à gérer à grande échelle pour ce scénario complexe de routage inter-VPC. La mise à jour des groupes de sécurité est une approche au niveau de l'instance et ne résout pas le problème de routage sous-jacent au niveau du réseau. Modifier la table de routage principale dans chaque VPC ne suffit pas, car la Transit Gateway utilise sa propre logique de routage pour déterminer où envoyer le trafic entre les VPC attachés.