Aplikacja SaaS wykorzystuje dwa redundantne łącza Direct Connect 10 Gb/s do kolokacji i musi rozpocząć szyfrowanie ruchu między AWS a routerami brzegowymi kolokacji, zachowując tę samą przepustowość. Kolokacja ma już szyfrowanie do sieci on-prem. Firma chce rozwiązania o najmniejszym narzucie operacyjnym. Co powinien zrobić inżynier sieci?

Prawidłowa odpowiedź to wdrożenie nowej pary połączeń Direct Connect 10 GB z MACsec, skonfigurowanie MACsec na routerach brzegowych, przekierowanie ruchu do nowych połączeń Direct Connect i wyłączenie oryginalnych połączeń. MACsec (Media Access Control Security) to standard szyfrowania warstwy 2, który zapewnia szyfrowanie ruchu między punktem końcowym Direct Connect AWS a routerem brzegowym klienta. Jest to najbardziej efektywna metoda szyfrowania ruchu Direct Connect przy zachowaniu wysokiej przepustowości (do 100 Gb/s) i najmniejszym narzucie operacyjnym, ponieważ działa na poziomie łącza fizycznego i nie wymaga konfiguracji VPN na poziomie IP. Opcja z nowym publicznym VIF z szyfrowaniem jest nieprawidłowa, ponieważ publiczny VIF nie oferuje natywnego szyfrowania na poziomie łącza. Opcja z virtual private gateway i AWS Site-to-Site VPN jest nieprawidłowa, ponieważ VPN IPsec wprowadza narzut wydajnościowy i operacyjny, co może ograniczyć przepustowość i zwiększyć złożoność zarządzania. Opcja z MACsec, publicznym VIF i Site-to-Site VPN jest nadmiernie złożona i niepotrzebna, ponieważ MACsec sam w sobie zapewnia szyfrowanie na wymaganym poziomie.