ある企業では、一元化された共有サービスVPC内の複数のAZにステートフルセキュリティアプライアンスをデプロイしています。トランジットゲートウェイは、アプリケーションVPCと共有サービスVPCをアタッチしています。アプリケーションワークロードは、複数のAZにわたるプライベートサブネットで実行されます。ステートフルアプライアンスは、すべての東西VPC間トラフィックを検査します。ユーザーは、異なるアベイラビリティーゾーンにあるワークロード間のトラフィックがドロップされていると報告しています。AZ間のワークロード間のICMP pingが失敗します。セキュリティグループ、アプライアンス構成、およびネットワークACLは除外されています。トラフィックがドロップされる原因は何ですか？

ステートフルアプライアンスは、接続の開始と終了の両方のトラフィックフローを同じアプライアンスインスタンスで処理する必要があります。アプライアンスモードが有効になっていない場合、Transit Gatewayは異なるAZのインスタンスにトラフィックをルーティングする可能性があり、ステートフルアプライアンスが接続の状態を追跡できなくなり、トラフィックがドロップされます。アプライアンスモードを有効にすると、Transit Gatewayは特定のAZ内のアプライアンスへのトラフィックフローを維持し、ステートフル検査が正しく機能するようにします。アプライアンスとTransit Gatewayのアタッチメントが同じサブネットにあるかどうかは、トラフィックのドロップとは直接関係ありません。アプリケーションVPCのアタッチメントでアプライアンスモードを有効にする必要はありません。