Компания развернула межсетевые экраны с сохранением состояния в нескольких зонах доступности внутри централизованной VPC общих служб. Transit Gateway подключает VPC приложений и VPC общих служб. Рабочие нагрузки приложений выполняются в частных подсетях в нескольких зонах доступности. Межсетевые экраны с сохранением состояния проверяют весь трафик VPC-to-VPC между востоком и западом. Пользователи сообщают, что трафик между рабочими нагрузками в разных зонах доступности отбрасывается. ICMP-пинги между рабочими нагрузками в разных зонах доступности не проходят. Группы безопасности, конфигурации межсетевых экранов и сетевые ACL исключены. Что является причиной отбрасывания трафика?

При использовании централизованных межсетевых экранов с сохранением состояния (stateful firewalls) для инспекции трафика между VPC через AWS Transit Gateway, необходимо включить режим Appliance Mode для присоединения Transit Gateway к VPC, где расположены межсетевые экраны (в данном случае, к VPC общих служб). Appliance Mode гарантирует, что трафик, возвращающийся из межсетевого экрана, будет направлен обратно через тот же сетевой интерфейс, через который он поступил, независимо от зоны доступности. Без Appliance Mode Transit Gateway может асимметрично маршрутизировать обратный трафик через другой сетевой интерфейс в другой зоне доступности, что приводит к отбрасыванию пакетов межсетевым экраном с сохранением состояния, поскольку он не видит полную сессию. Другие варианты неверны: Размещение межсетевых экранов и подключений Transit Gateway в разных или одной подсетях не является основной причиной асимметричной маршрутизации, если Appliance Mode не включен. Appliance Mode требуется для VPC, содержащей сетевые устройства (firewalls), а не для VPC приложений.