某公司使用 transit gateway 連接多個 VPC。地端網路缺乏靜態公有 IP。團隊需要從 AWS 端發起 VPN 連線，以便將流量導向地端。若要建立 transit gateway 與地端網路之間的 Site-to-Site VPN，應執行哪些步驟組合？ (選擇三個)

由於地端網路缺乏靜態公有 IP 且需由 AWS 端發起連線，因此需要建立一個沒有指定 IP 位址的客戶閘道 (Customer Gateway)。這允許 AWS 在 VPN 連線建立時動態偵測地端裝置的 IP。IKEv2 是 Site-to-Site VPN 的推薦協定，提供更強的安全性與效能。使用來自 AWS Private Certificate Authority 的私有憑證授權機構 (CA) 建立憑證，可以確保 VPN 連線的身份驗證和加密，同時保持憑證的私密性與安全性。 IKEv1 雖然可用，但 IKEv2 是更現代且推薦的選項。使用公有憑證授權機構 (CA) 建立憑證不適用於此場景，因為 AWS Private CA 專為內部或私有用途設計。指定客戶閘道裝置的目前動態 IP 位址是錯誤的，因為 IP 會變動，導致連線中斷。