Un'azienda ha appliance di sicurezza stateful distribuite in più AZ all'interno di una VPC di servizi condivisi centralizzata. Un transit gateway collega le VPC delle applicazioni e la VPC dei servizi condivisi. I carichi di lavoro delle applicazioni vengono eseguiti in subnet private in più AZ. Le appliance stateful ispezionano tutto il traffico east-west da VPC a VPC. Gli utenti segnalano che il traffico tra i carichi di lavoro in diverse zone di disponibilità viene interrotto. I ping ICMP tra i carichi di lavoro tra le AZ falliscono. Security group, configurazioni delle appliance e ACL di rete sono stati esclusi. Qual è la causa dell'interruzione del traffico?

La causa dell'interruzione del traffico è che la modalità appliance non è abilitata sull'attachment del Transit Gateway alla VPC dei servizi condivisi. Quando si utilizzano appliance di sicurezza stateful in un'architettura con Transit Gateway, la modalità appliance deve essere abilitata sull'attachment del Transit Gateway alla VPC che ospita le appliance. Questo assicura che il traffico di ritorno venga instradato alla stessa appliance che ha elaborato il traffico in uscita, mantenendo lo stato della connessione. Senza la modalità appliance abilitata, il Transit Gateway può instradare il traffico di ritorno a un'appliance diversa o a un'altra AZ, causando l'interruzione delle connessioni stateful, come evidenziato dai ping ICMP falliti. Le altre opzioni sono meno probabili: La distribuzione delle appliance e degli attachment in subnet separate o nella stessa subnet non è la causa principale del problema di routing stateful. Abilitare la modalità appliance sull'attachment alle VPC delle applicazioni non è necessario, poiché le appliance risiedono nella VPC dei servizi condivisi.