Una VPN Site-to-Site tra un transit gateway e un ambiente on-premises utilizza BGP su due tunnel con ECMP attivo/attivo sul transit gateway. Il traffico dall'ambiente on-premises esce attraverso il tunnel A, ma il traffico di ritorno di EC2 rientra attraverso il tunnel B e viene scartato dal customer gateway. L'ingegnere deve risolvere il problema senza ridurre la larghezza di banda totale della VPN. Cosa si dovrebbe fare?

Il problema descritto è il routing asimmetrico, dove il traffico in uscita e in entrata utilizza tunnel VPN diversi, causando lo scarto dei pacchetti da parte del customer gateway (CGW) che si aspetta il traffico di ritorno sullo stesso tunnel. La soluzione più efficace senza ridurre la larghezza di banda è configurare il CGW per consentire il routing asimmetrico sulle interfacce del tunnel virtuale. Questo permette al CGW di accettare il traffico di ritorno anche se proviene da un tunnel diverso da quello di origine. Le altre opzioni sono meno appropriate: L'AS path prepending e la preferenza locale influenzano la selezione del percorso BGP, ma forzare tutto il traffico su un singolo tunnel ridurrebbe la larghezza di banda totale disponibile, contraddicendo il requisito. Non esiste un'opzione diretta per contrassegnare un tunnel come "primario" nelle impostazioni VPN Site-to-Site di AWS per prevenire il routing asimmetrico in questo modo. Il passaggio al routing statico eliminerebbe i vantaggi di ECMP e BGP, riducendo la resilienza e la gestione dinamica del traffico.