Две производственные VPC (VPC A и VPC B) охватывают все AZ в us-east-1. Новое постановление требует проверки всего трафика между этими производственными VPC. Компания развернула общую VPC с stateful firewall и подключением transit gateway ко всем VPC, чтобы трафик между VPC A и VPC B маршрутизировался через firewall. Во время тестирования transit gateway отбрасывает трафик при его прохождении между двумя Availability Zones. Какое изменение должен внести сетевой инженер, чтобы исправить это с НАИМЕНЬШИМИ накладными расходами на управление?

Правильный ответ — включение режима устройства Transit Gateway (TGW appliance mode) на подключении VPC в общей VPC. Режим устройства TGW гарантирует, что трафик, проходящий через сетевое устройство (например, межсетевой экран) в общей VPC, всегда возвращается к тому же устройству, даже если он пересекает границы зон доступности. Это предотвращает асимметричную маршрутизацию, при которой исходящий и входящий трафик проходят через разные экземпляры межсетевого экрана, что приводит к отбрасыванию пакетов stateful firewall. Остальные варианты неверны: Замена подключения VPC на VPN и настройка BGP значительно увеличит сложность и накладные расходы на управление. Включение режима устройства TGW на подключениях VPC A и VPC B не решит проблему, поскольку межсетевой экран находится в общей VPC. Использование VPC peering connection не позволяет централизованно маршрутизировать трафик через межсетевой экран в общей VPC, так как пиринг не поддерживает транзитивную маршрутизацию.