Een Site-to-Site VPN tussen een transit gateway en on-premises gebruikt BGP over twee tunnels met active/active ECMP op de transit gateway. Verkeer van on-premises gaat via tunnel A naar buiten, maar het EC2-retourverkeer komt terug via tunnel B en wordt gedropt bij de customer gateway. De engineer moet dit oplossen zonder de totale VPN-bandbreedte te verlagen. Wat moet er gedaan worden?

De customer gateway (on-premises VPN-apparaat) dropt het retourverkeer omdat het een stateful firewall is die verwacht dat verkeer dat via tunnel A naar buiten ging, ook via tunnel A terugkomt. Om dit op te lossen, moet de customer gateway geconfigureerd worden om asymmetrische routing toe te staan, wat betekent dat het apparaat verkeer accepteert dat via een andere tunnel terugkomt dan waar het oorspronkelijk doorheen ging. De andere opties zijn incorrect: AS path prepending en lokale voorkeur beïnvloeden de uitgaande padselectie, niet de inkomende acceptatie van asymmetrisch verkeer door de customer gateway. Er is geen optie om een Site-to-Site VPN-tunnel als 'primair' te markeren voor asymmetrische routing op de Transit Gateway; de Transit Gateway gebruikt standaard ECMP. Overschakelen naar statische routing zou ECMP uitschakelen en de totale bandbreedte verlagen, wat in strijd is met de vereisten.