ANSネットワーク実装
ある企業は、Transit Gatewayをハブとして複数のVPCを接続し、専用のインスペクションVPCにサードパーティ製のステートフルファイアウォールアプライアンスを冗長構成（2AZ）で配置しています。すべての東西（VPC間）トラフィックをファイアウォールで検査する設計ですが、検査トラフィックの一部で接続が断続的にリセットされる障害が発生しています。フローログを分析すると、戻りトラフィックが往路と異なるAZのファイアウォールアプライアンスに到達していることが判明しました。最小限の変更でこの非対称ルーティングを解消する方法はどれですか。
AインスペクションVPCがアタッチされているTransit Gateway attachmentでappliance modeを有効化する
✓ 正解
appliance modeを有効化するとTransit Gatewayはフロー単位で同一AZのアプライアンスを選択し往復で一貫させる。アプライアンスが存在するインスペクションVPCのattachmentで有効化するのが正しく、非対称ルーティングを最小変更で解消できる。
BTransit Gatewayのデフォルトルートテーブルでクロスゾーン負荷分散を無効化し、AZごとに別々のルートテーブルを作成する
クロスゾーン負荷分散はTGW attachmentのフロー固定機能ではなくELBの概念であり、AZごとのルートテーブル分割は管理を複雑化させるだけで往復のAZ一貫性を保証しない。非対称性は解消されない。
C各スポークVPCのTransit Gateway attachmentでappliance modeを有効化し、ECMPを無効にする
appliance modeの考え方は正しいが有効化する対象が誤り。フロー固定はアプライアンスを持つインスペクションVPCのattachmentで設定する必要があり、スポークVPC側で有効化しても双方向のAZ一貫性は得られない。
Dファイアウォールアプライアンスの前段にNetwork Load Balancerを配置し、スティッキーセッションを無効化する
NLBのスティッキーセッション設定はVPC内でのターゲット選択に関わるのみで、Transit GatewayがAZをまたいで別アプライアンスにルーティングする根本原因を解決しない。非対称ルーティングは継続する。
解説
Transit Gatewayは通常、フローごとに利用するAZのアプライアンスを独立して選択するため、往路と復路で異なるAZのアプライアンスに到達し非対称ルーティングが発生する。インスペクションVPC（アプライアンスが存在するVPC）のattachmentでappliance modeを有効化すると、TGWは同一フローの双方向トラフィックを常に同じAZのアプライアンスへ送るようフローハッシュを維持し、ステートフル検査が正しく機能する。
選択肢Bのクロスゾーン負荷分散やルートテーブル分割はTGWのフロー固定を実現せず、ルート管理が複雑化するだけで非対称性は解消しない。
選択肢Cはappliance modeを有効化する対象がスポークVPCで誤り。フロー固定はアプライアンスのあるインスペクションVPC側で有効化する必要がある。
選択肢DのNLBスティッキー設定はVPC内のアプライアンス選択には寄与するが、TGWがAZをまたいでルーティングする問題自体を解決しない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →