Компания планирует перенести критически важные рабочие нагрузки на EC2 через новое соединение Direct Connect 10 Гбит/с, которое терминируется в VPC, подключенном к транзитному шлюзу. Миграция требует зашифрованных путей между локальным центром обработки данных и AWS и должна обеспечивать МАКСИМАЛЬНУЮ пропускную способность. Какая конфигурация соответствует этим требованиям?

Правильный ответ — «Включить MACsec на соединении Direct Connect и создать transit virtual interface для Direct Connect gateway, который связан с транзитным шлюзом». MACsec обеспечивает шифрование на уровне канала передачи данных (Layer 2) непосредственно на соединении Direct Connect, что гарантирует максимальную пропускную способность, поскольку шифрование происходит до инкапсуляции IP-пакетов и не требует дополнительных накладных расходов, связанных с IPsec. Transit virtual interface позволяет подключать Direct Connect к Transit Gateway, обеспечивая связь с несколькими VPC. Остальные варианты не подходят: Public virtual interface с AWS Site-to-Site VPN: VPN-соединение через публичный интернет или поверх Direct Connect (без MACsec) будет использовать IPsec, что снизит пропускную способность по сравнению с MACsec из-за накладных расходов на шифрование на уровне Layer 3. Transit virtual interface с IPsec VPN на инстансе EC2: Шифрование на инстансе EC2 переносит нагрузку на вычислительные ресурсы и ограничивает пропускную способность инстанса, а не соединения Direct Connect. Public virtual interface с двумя AWS Site-to-Site VPN и ECMP: Хотя ECMP может улучшить отказоустойчивость, IPsec по-прежнему будет ограничивать пропускную способность по сравнению с MACsec.