Компания развертывает приложения в нескольких VPC, подключенных к Transit Gateway. Любой VPC, который отправляет трафик, предназначенный для интернета, должен маршрутизироваться через VPC общих служб. Каждая подсеть VPC использует таблицу маршрутизации VPC по умолчанию, указывающую на Transit Gateway; Transit Gateway использует свою таблицу маршрутизации по умолчанию для подключений VPC. Проверка безопасности показывает, что инстанс EC2 в одном VPC может связываться с инстансами EC2 в любом другом VPC компании. Каждый VPC должен иметь возможность связываться только с определенным, ограниченным набором авторизованных VPC. Что должен сделать архитектор решений для обеспечения этого?

Правильный ответ — создание выделенной таблицы маршрутизации Transit Gateway для каждого подключения VPC. Это позволяет гранулярно контролировать, какие VPC могут взаимодействовать друг с другом. Каждая таблица маршрутизации Transit Gateway может быть связана с определенным подключением VPC и содержать только те маршруты, которые ведут к авторизованным VPC. Это обеспечивает изоляцию трафика и соответствие требованиям безопасности. Изменение сетевых ACL или групп безопасности менее эффективно, так как они работают на уровне подсети или инстанса и требуют обширной настройки и управления при большом количестве VPC. Изменение основной таблицы маршрутизации в каждом VPC не решает проблему, поскольку Transit Gateway все равно будет перенаправлять трафик между всеми подключенными VPC, если его маршрутизация не ограничена.