Question#24(ANS-C01)
米国を拠点とする企業が欧州に事業を拡大しています。ネットワークエンジニアは、eu-west-1リージョンに新しいハブアンドスポークアーキテクチャを構築することで、企業のネットワークインフラストラクチャを拡張する必要があります。ネットワークエンジニアは、トランジットゲートウェイピアリング接続を使用して、eu-west-1の新しいリソースをus-east-1の既存環境に接続します。
各AWSリージョンのハブアンドスポークアーキテクチャには、トラフィック検査をリージョンごとに一元化するためにAWS Network Firewallを使用する検査VPCが含まれます。コスト削減のため、ネットワークエンジニアは、リージョン間トラフィックをトラフィックが発生するリージョンの検査VPCで検査することにしました。
ネットワークエンジニアは、各リージョンのトランジットゲートウェイルートテーブルを適切に設定しました。ネットワークエンジニアが新しいアーキテクチャをテストしたところ、リージョン内通信は期待通りに機能しました。しかし、リージョン間通信が機能していないことがわかりました。ネットワークエンジニアは、リージョン間通信の問題を解決する必要があります。
この要件を満たすソリューションはどれですか？
正解：D
この問題では、企業がus-east-1とeu-west-1にハブアンドスポークアーキテクチャを構築し、トランジットゲートウェイピアリング接続を使用してリージョン間を接続しています。各リージョンにはAWS Network Firewallを備えた検査VPCがあり、リージョン間トラフィックはトラフィックが発生するリージョンの検査VPCで検査されます。リージョン内通信は正常に機能しますが、リージョン間通信が機能していません。ネットワークエンジニアは、この問題を解決する必要があります。選択肢Dは、検査VPCのトランジットゲートウェイアタッチメントでアプライアンスモードを有効にするソリューションです。以下に、なぜこれが正解かを説明します： ・問題の原因: リージョン間通信が機能しないのは、検査VPCでの非対称ルーティングが原因と考えられます。トランジットゲートウェイはデフォルトで、最適なパスを選択するルーティングを行いますが、AWS Network Firewallのようなステートフルなファイアウォールを使用する場合、リクエストとレスポンスが同じ検査VPCを通過しないと、ステートフル検査が失敗し、トラフィックがドロップされる可能性があります。たとえば、us-east-1からeu-west-1へのトラフィックがus-east-1の検査VPCで検査される一方、レスポンスがeu-west-1の検査VPCを通過すると、非対称ルーティングが発生し、通信が失敗します。 ・アプライアンスモードの役割: トランジットゲートウェイのアプライアンスモードを有効にすると、トランジットゲートウェイはトラフィックを特定の検査VPCアタッチメントに強制的にルーティングし、非対称ルーティングを防ぎます。これにより、リクエストとレスポンスが同じ検査VPC（トラフィックが発生するリージョンの検査VPC）を確実に通過し、Network Firewallのステートフル検査が正常に機能します。 ・コスト削減と要件の充足: ネットワークエンジニアの意図（リージョン間トラフィックを発生リージョンの検査VPCで検査）は、アプライアンスモードで実現可能です。この設定は、トランジットゲートウェイのネイティブ機能を使用し、追加のリソースや複雑な設定（例：OSPFやRAM共有）を必要としないため、運用効率が高いです。 リージョン間通信の解決: 検査VPCのアタッチメント両方でアプライアンスモードを有効にすることで、us-east-1からeu-west-1、およびその逆のトラフィックがそれぞれの発生リージョンの検査VPCを確実に通過し、リージョン間通信の問題が解決されます。 他の選択肢は、技術的に実現不可能（１、２）または問題の根本原因（非対称ルーティング）を解決しない（３）ため、適切ではありません。
コメント