ある企業はAWS Network FirewallをハブVPC（セキュリティVPC）にデプロイし、すべてのスポークVPCからパブリックインターネットへのアウトバウンドトラフィックを一元的に検査する構成を構築しました。VPC間通信のルーティングにはAWS Transit Gatewayが使用されています。インバウンドとアウトバウンドの両方のトラフィックフローで非対称ルーティングによるパケットのドロップを防止するために、Transit Gatewayで設定しなければならない機能はどれですか。
AWS Network FirewallなどのステートフルなファイアウォールアプライアンスをハブVPC（セキュリティVPC）に配置し、Transit Gateway経由でトラフィックをルーティングする「一元検査（Centralized Inspection）」アーキテクチャでは、非対称ルーティングの問題が発生しやすくなります。Transit Gatewayは異なるアベイラビリティーゾーン（AZ）のアタッチメントにトラフィックを分散して送信する可能性があるため、行きのパケットと戻りのパケットが異なるAZのファイアウォールエンドポイントを通過すると、ステートが維持できずにパケットがドロップされます。ファイアウォールが存在するVPCのアタッチメントに対して「アプライアンスモード（Appliance Mode）」を有効にすることで、特定のフローの行きと戻りのトラフィックが常に同じAZを通過するようにトラフィックの対称性が保証されます。 選択肢Bのプロパゲーション無効化と静的ルートのみの設定は、ルートテーブルの管理方法に関する変更であり、ステートフルなアプライアンスで発生する「同一フローが異なるAZのエンドポイントを通過する」という非対称ルーティング問題の根本原因を解決しません。 選択肢CのマルチキャストサポートはTransit GatewayでIPマルチキャストグループを構成するための機能であり、ステートフルなファイアウォール検査における非対称ルーティングの防止とは無関係です。 選択肢DのDNSサポートはVPC内のEC2インスタンスがRoute 53 ResolverなどでDNS解決を行うための設定であり、Transit Gatewayのルーティング対称性とは無関係です。無効化しても非対称ルーティングの問題は解決しません。