Американская компания добавляет центральный хаб (hub-and-spoke) в регионе eu-west-1 и подключает его к существующей среде us-east-1 с помощью пирингового соединения Transit Gateway. В каждом регионе используется VPC для инспекции с AWS Network Firewall для централизованной проверки. Чтобы сэкономить, инженер решает, что межрегиональный трафик должен проверяться в регионе происхождения трафика, и соответствующим образом настраивает таблицы маршрутизации Transit Gateway. Внутрирегиональная связь работает, но межрегиональный трафик не проходит. Какое изменение решит проблему межрегионального подключения?

Правильный ответ — Включить Appliance mode на обоих вложениях Transit Gateway для инспекционной VPC. Appliance mode необходим для обеспечения симметричной маршрутизации трафика через сетевые устройства, такие как AWS Network Firewall, когда трафик входит и выходит через одно и то же вложение Transit Gateway. Без Appliance mode Transit Gateway может балансировать нагрузку на трафик через несколько зон доступности, что приводит к асимметричной маршрутизации и сбоям в работе stateful firewall. Включение Appliance mode гарантирует, что весь трафик для конкретного потока будет направляться через одну и ту же зону доступности и, следовательно, через один и тот же экземпляр Network Firewall. Неправильные варианты: OSPF не используется для распространения маршрутов между пиринговыми соединениями Transit Gateway; маршруты распространяются автоматически или вручную. AWS RAM используется для совместного использования ресурсов, но не решает проблему асимметричной маршрутизации для межрегионального трафика через инспекционные VPC. Предотвращение асимметричной маршрутизации в инспекционных VPC является целью, но Appliance mode — это механизм, который AWS предоставляет для ее достижения в данном сценарии.