Een bedrijf is van plan om kritieke workloads te migreren naar EC2 via een nieuwe 10 Gbps Direct Connect-verbinding die eindigt op een VPC die is gekoppeld aan een transit gateway. De migratie vereist versleutelde paden tussen het on-premises datacenter en AWS en moet de HOOGSTE doorvoer bieden. Welke configuratie voldoet aan deze vereisten?

De juiste optie is om MACsec in te schakelen op de Direct Connect-verbinding en een transit virtual interface te maken naar een Direct Connect gateway die is gekoppeld aan de transit gateway. MACsec (Media Access Control Security) biedt encryptie op laag 2 van het OSI-model, direct op de Direct Connect-verbinding zelf. Dit zorgt voor de hoogste doorvoer omdat de encryptie hardwarematig wordt afgehandeld en er geen extra overhead is van IPsec-encapsulatie, wat de doorvoer van de 10 Gbps-verbinding maximaliseert. Een transit virtual interface is noodzakelijk om te verbinden met een transit gateway via een Direct Connect gateway. Incorrecte opties: Het maken van een public virtual interface met een Site-to-Site VPN voegt IPsec-overhead toe, wat de doorvoer vermindert en niet de hoogste doorvoer biedt. Het configureren van een IPsec VPN naar een EC2-instance met VPN-software van derden introduceert extra latency en verwerkingsoverhead op de EC2-instance, wat de doorvoer beperkt en niet schaalbaar is voor 10 Gbps. Het gebruik van twee AWS Site-to-Site VPN-verbindingen met ECMP verbetert de redundantie, maar de IPsec-encryptie vermindert nog steeds de maximale doorvoer vergeleken met MACsec.