Un'applicazione SaaS utilizza due collegamenti Direct Connect ridondanti da 10 Gbps verso una colocation e deve iniziare a crittografare il traffico tra AWS e i router di edge della colocation mantenendo la stessa larghezza di banda. La colocation ha già la crittografia verso la rete on-prem. L'azienda desidera la soluzione con il minor overhead operativo. Cosa dovrebbe fare un ingegnere di rete?

L'opzione corretta è implementare nuove connessioni Direct Connect con MACsec. MACsec (Media Access Control Security) è uno standard IEEE che fornisce crittografia hop-by-hop a livello di Layer 2 direttamente sulle connessioni fisiche Direct Connect. Questo garantisce la crittografia del traffico tra AWS e i router di edge della colocation con un overhead minimo e senza ridurre la larghezza di banda di 10 Gbps, soddisfacendo i requisiti di performance e sicurezza. Le connessioni Direct Connect esistenti possono essere dismesse una volta che le nuove connessioni MACsec sono operative e il traffico è stato reindirizzato. Le altre opzioni sono meno adatte: Un VIF pubblico con crittografia non specifica il metodo di crittografia e potrebbe implicare VPN software con overhead. Le VPN AWS Site-to-Site (IPsec) su un Virtual Private Gateway introducono un overhead significativo (fino al 30-40%) sulla larghezza di banda disponibile a causa dell'incapsulamento e della crittografia a livello di Layer 3, non mantenendo la stessa larghezza di banda effettiva di 10 Gbps. Implementare VPN Site-to-Site su un nuovo VIF pubblico con MACsec è ridondante e introduce overhead non necessario, in quanto MACsec da solo fornisce la crittografia richiesta a livello di Layer 2 senza la necessità di VPN aggiuntive.