Een bedrijf heeft stateful security appliances geïmplementeerd in meerdere AZ's binnen een gecentraliseerde shared services VPC. Een transit gateway verbindt applicatie-VPC's en de shared services VPC. Applicatieworkloads draaien in private subnets verspreid over meerdere AZ's. De stateful appliances inspecteren al het oost-west VPC-naar-VPC-verkeer. Gebruikers melden dat verkeer tussen workloads in verschillende Availability Zones wordt gedropt. ICMP pings tussen workloads over AZ's heen mislukken. Security groups, appliance-configuraties en netwerk-ACL's zijn uitgesloten. Wat veroorzaakt het gedropte verkeer?

De correcte optie is dat Appliance Mode niet is ingeschakeld op de Transit Gateway (TGW) attachment naar de shared services VPC. Stateful firewalls vereisen symmetrische routing, wat betekent dat zowel het inkomende als het uitgaande verkeer via dezelfde firewall-instance moet lopen. Zonder Appliance Mode ingeschakeld, kan de TGW asymmetrische routing veroorzaken door verkeer terug te sturen via een andere Availability Zone (AZ) of een andere firewall-instance, waardoor de stateful verbinding wordt verbroken en pakketten worden gedropt. De optie dat appliances en TGW attachments in aparte subnets zijn geïmplementeerd is niet direct de oorzaak van het probleem, zolang de routing correct is. Hetzelfde geldt voor de optie dat ze in hetzelfde subnet zijn geïmplementeerd; dit is een implementatiedetail en niet de hoofdoorzaak van asymmetrische routing. Appliance Mode op de attachments naar de applicatie-VPC's is niet relevant voor het afdwingen van symmetrie door de firewall in de shared services VPC.