某公司在一個集中的共享服務 VPC 中，跨多個可用區域 (AZ) 部署了有狀態的安全設備。一個 Transit Gateway 連接著應用程式 VPC 和共享服務 VPC。應用程式工作負載在多個 AZ 的私有子網路中運行。有狀態設備會檢查所有東西向的 VPC 對 VPC 流量。使用者回報不同可用區域之間的工作負載流量被丟棄。跨 AZ 的工作負載之間的 ICMP ping 失敗。安全群組、設備配置和網路 ACL 都已排除。是什麼原因導致流量被丟棄？

當有狀態網路設備（例如防火牆）用於檢查跨可用區域 (AZ) 的東西向流量時，必須在連接到共享服務 VPC 的 Transit Gateway 附件上啟用 Appliance mode。Appliance mode 確保來自同一流量流的所有封包都路由到同一個設備，即使流量在不同的 AZ 之間移動。如果未啟用 Appliance mode，Transit Gateway 可能會將同一流量流的封包路由到不同的設備實例，導致有狀態設備無法正確處理，進而丟棄封包，這解釋了 ICMP ping 失敗。 選項「有狀態設備和 Transit Gateway 附件部署在共享服務 VPC 中的不同子網路」和「有狀態設備和 Transit Gateway 附件部署在共享服務 VPC 中的相同子網路」本身不會導致流量丟棄，關鍵在於 Appliance mode 是否啟用。選項「連接到應用程式 VPC 的 Transit Gateway 附件未啟用 Appliance mode」不正確，因為 Appliance mode 應在包含有狀態設備的共享服務 VPC 的附件上啟用。