【ANS-C01 模擬】数十のVPCからのインターネット向け通信を1つの検査用VPCに集約し、非対称ルーティングを防ぐ設計は？
ある企業は30個のスポークVPCを1つのTransit Gatewayに接続しています。セキュリティ方針により、すべてのVPCからインターネットへ向かうアウトバウンド通信は、AWS Network FirewallとNAT Gatewayを配置した中央の「検査用VPC」を必ず経由させる必要があります。検査用VPCは2つのアベイラビリティゾーンにファイアウォールエンドポイントを持ち、往路と復路のパケットが同じAZのファイアウォールエンドポイントを通過することを保証しなければなりません。また、スポークVPC同士が直接通信することは禁止されています。
これらの要件を満たすネットワーク構成として最も適切なものはどれですか。
これらの要件を満たすネットワーク構成として最も適切なものはどれですか。
正解: B
正解はBです。集中Egress構成では、スポークVPCが所属するTransit Gatewayルートテーブルに「デフォルトルートは検査用VPCアタッチメント」という1本の経路だけを置き、スポーク同士の経路を持たせないことで横方向の直接通信を禁止できます。検査用VPC側のルートテーブルには各スポークのCIDRを伝播させて戻り経路を確保します。ポイントはアプライアンスモードです。Transit Gatewayは既定では送信元と同じAZのアタッチメントENIへトラフィックを送るため、復路が別AZのファイアウォールエンドポイントに流れてステートフル検査が破綻することがあります。検査用VPCアタッチメントでアプライアンスモードを有効にすると、フローごとに同じAZのENIが選ばれ、往路と復路の対称性が保たれます。
Aはスポークごとに出口とルールが分散し「集約」という要件に反し、運用コストも増大します。CはVPCピアリングが推移的ルーティングをサポートしないため他VPCのNAT Gatewayを共用できず、スポーク間の直接通信禁止にも反します。DはGateway Load Balancerを使う場合でも各スポークに直接インターネットゲートウェイを置くことになり、中央集約と対称性の保証を満たしません。