Un'azienda sta migrando ad AWS utilizzando un'architettura hub-and-spoke con Transit Gateway. La sua rete MPLS on-premise impone la segmentazione utilizzando MPLS VPN con separazione VRF. Due collegamenti Direct Connect da 10 Gbps forniscono connettività resiliente e ad alta velocità. Il team di sicurezza deve replicare la segmentazione VRF MPLS in AWS, supportando spazi di indirizzi sovrapposti per più MPLS VPN e minimizzando l'overhead operativo. Quale soluzione soddisfa questi requisiti con il minor sforzo operativo continuo?

L'opzione corretta è configurare un attachment Transit Gateway Connect per ogni MPLS VPN tra i router di bordo dell'azienda e Transit Gateway, e configurare una tabella di routing del transit gateway che corrisponda alla MPLS VPN per ciascuno degli ambienti di sviluppo dell'azienda. Questo approccio sfrutta Transit Gateway Connect, che supporta il protocollo GRE (Generic Routing Encapsulation) e BGP (Border Gateway Protocol) per estendere la segmentazione VRF MPLS on-premise direttamente ad AWS. Ogni attachment Connect può essere associato a una specifica tabella di routing del Transit Gateway, replicando efficacemente la separazione VRF e supportando spazi di indirizzi sovrapposti con il minimo sforzo operativo. Le altre opzioni sono meno efficienti: L'implementazione di un'appliance virtuale SD-WAN introduce complessità e overhead operativo aggiuntivo per la gestione dell'appliance. La configurazione di VPN IPsec per ogni MPLS VPN è fattibile ma più complessa da gestire e scalare rispetto a Transit Gateway Connect, che è specificamente progettato per l'integrazione con reti on-premise. La creazione di una transit VPC con VPN IPsec a ogni VPC non sfrutta le capacità di segmentazione nativa di Transit Gateway e introduce un punto di gestione aggiuntivo.