某個 SaaS 應用程式使用兩個備援的 10 Gbps Direct Connect 連結連接到主機代管，並且必須開始加密 AWS 和主機代管邊緣路由器之間的流量，同時保持相同的頻寬。主機代管已經加密到內部部署網路。公司希望解決方案的操作開銷最少。網路工程師應該怎麼做？

MACsec (Media Access Control Security) 是在 Direct Connect 連線層級提供加密的理想解決方案，因為它可以在不降低效能的情況下提供線速加密，滿足保持相同頻寬的要求。由於主機代管已經加密到內部部署網路，MACsec 在 AWS 和主機代管邊緣路由器之間提供端到端加密，且操作開銷最小。 選項一不正確，因為公有 VIF 主要用於存取 AWS 公有服務，且在 Direct Connect 層級不直接提供加密。 選項二不正確，因為 Site-to-Site VPN 會在 IPsec 層級提供加密，這通常會引入額外的開銷並可能降低 10 Gbps 連線的吞吐量，無法滿足保持相同頻寬的要求。 選項四不正確，因為在 MACsec 啟用的 Direct Connect 連線上再部署 Site-to-Site VPN 是不必要的，且會增加複雜性和開銷，而 MACsec 本身已提供所需的加密。