Firma migruje do AWS, używając architektury Transit Gateway hub-and-spoke. Jej lokalna sieć MPLS wymusza segmentację za pomocą MPLS VPN z separacją VRF. Dwa łącza Direct Connect 10 Gbps zapewniają odporną, szybką łączność. Zespół bezpieczeństwa musi odtworzyć segmentację MPLS VRF w AWS, obsługując nakładające się przestrzenie adresowe dla wielu MPLS VPN i minimalizując narzut operacyjny. Które rozwiązanie spełnia te wymagania przy najmniejszym bieżącym wysiłku operacyjnym?

Prawidłowa odpowiedź to konfiguracja załącznika Transit Gateway Connect dla każdego MPLS VPN. Transit Gateway Connect obsługuje protokół BGP i umożliwia dynamiczną wymianę tras, co jest kluczowe dla odtworzenia segmentacji VRF z nakładającymi się przestrzeniami adresowymi. Pozwala to na mapowanie każdego MPLS VPN do oddzielnego załącznika Connect i powiązanej tabeli routingu Transit Gateway, zapewniając izolację ruchu i minimalizując narzut operacyjny dzięki automatycznej dystrybucji tras. Inne opcje są mniej optymalne: Wirtualne urządzenie SD-WAN wprowadza dodatkową warstwę złożoności i zarządzania, zwiększając narzut operacyjny. Konfiguracja wielu tuneli IPsec VPN dla każdego MPLS VPN jest pracochłonna i trudna w zarządzaniu, zwłaszcza przy nakładających się przestrzeniach adresowych, a Site-to-Site VPN nie obsługuje natywnie VRF. Tworzenie transit VPC z Site-to-Site VRF-aware IPsec VPN jest nieprawidłowe, ponieważ AWS Site-to-Site VPN nie jest natywnie świadomy VRF, a taka architektura byłaby bardziej złożona niż Transit Gateway Connect.