Une entreprise utilise une passerelle de transit pour connecter plusieurs VPC. Le réseau sur site ne dispose pas d'IP publique statique. L'équipe a besoin que les connexions VPN soient initiées côté AWS, d'AWS vers le réseau sur site, pour le trafic destiné au réseau sur site. Quelle combinaison d'étapes doit être effectuée pour établir un VPN Site-à-Site entre la passerelle de transit et le réseau sur site ? (Choisissez trois.)

Pour initier une connexion VPN Site-à-Site depuis AWS vers un réseau sur site sans IP publique statique, il faut configurer le VPN pour qu'AWS agisse comme initiateur. IKEv2 est requis pour les VPN basés sur certificat, ce qui est nécessaire ici. L'utilisation d'une autorité de certification privée d'AWS Private Certificate Authority permet de créer les certificats nécessaires pour l'authentification mutuelle. Enfin, la création d'une passerelle client sans spécifier d'adresse IP permet à AWS d'établir la connexion en utilisant l'authentification par certificat, contournant l'exigence d'une IP statique côté client. IKEv1 ne prend pas en charge l'authentification par certificat requise pour ce scénario. Une CA publique n'est pas appropriée pour les connexions privées. Spécifier une IP dynamique pour la passerelle client est inutile car l'IP peut changer, et l'authentification par certificat est la méthode privilégiée.