Firma posiada stanowe urządzenia zabezpieczające wdrożone w wielu AZ w scentralizowanym VPC usług współdzielonych. Transit Gateway łączy VPC aplikacji i VPC usług współdzielonych. Obciążenia aplikacji działają w prywatnych podsieciach w wielu AZ. Stanowe urządzenia sprawdzają cały ruch east-west między VPC. Użytkownicy zgłaszają, że ruch między obciążeniami w różnych strefach dostępności jest odrzucany. Pingi ICMP między obciążeniami w różnych AZ kończą się niepowodzeniem. Wykluczono grupy bezpieczeństwa, konfiguracje urządzeń i listy ACL sieci. Co jest przyczyną odrzucania ruchu?

Prawidłowa odpowiedź to "Tryb urządzenia (Appliance mode) nie jest włączony na załączniku Transit Gateway do VPC usług współdzielonych." Stanowe urządzenia zabezpieczające (firewalle) wymagają, aby ruch powrotny, nawet jeśli pochodzi z innej podsieci lub strefy dostępności, był kierowany z powrotem przez to samo urządzenie, które przetworzyło ruch wychodzący. Domyślnie Transit Gateway rozkłada ruch równomiernie między dostępne ścieżki, co może spowodować, że ruch powrotny trafi do innego urządzenia lub innej ścieżki, omijając stanowe urządzenie. Włączenie trybu urządzenia (Appliance mode) na załączniku Transit Gateway do VPC, w którym znajdują się urządzenia zabezpieczające (w tym przypadku VPC usług współdzielonych), zapewnia, że Transit Gateway zachowuje spójność sesji, kierując ruch powrotny do tego samego urządzenia. Bez tego trybu, ruch między obciążeniami w różnych AZ, przechodzący przez stanowe urządzenia, zostanie odrzucony, ponieważ ruch powrotny nie zostanie skierowany przez to samo urządzenie, które zainicjowało sesję. Pozostałe opcje są nieprawidłowe: Umieszczenie urządzeń i załączników TGW w oddzielnej lub tej samej podsieci nie rozwiązuje problemu asymetrycznego routingu dla urządzeń stanowych. Włączenie trybu urządzenia na załączniku do VPC aplikacji nie jest wymagane, ponieważ urządzenia stanowe znajdują się w VPC usług współdzielonych.