ある企業が、Transit Gateway（TGW）に接続された複数のスポークVPCのトラフィックを、Gateway Load Balancer（GWLB）を使用したサードパーティ製ステートフルファイアウォールアプライアンスで集中検査するアーキテクチャを設計しました。セキュリティVPCにはGWLBとアプライアンスEC2インスタンスが配置されており、スポークVPCのルートテーブルにはTGW経由でセキュリティVPCへ向かうルートが設定されています。テスト中に、ファイアウォールが双方向の接続状態を維持できず、一部のセッションがドロップされる問題が発生しました。原因として最も可能性が高いものと、その解決策はどれですか？
正解： Transit GatewayのセキュリティVPCアタッチメントでAppliance Modeが無効になっており、往路と復路のトラフィックが異なるAZのTGWエンドポイントを経由することで非対称ルーティングが発生している。 解決策：セキュリティVPCのTGWアタッチメントでAppliance Modeを有効にする。 Transit Gatewayはデフォルトでトラフィックをソースと同じAZのエンドポイントから処理します。Appliance Modeが無効の場合、往路（スポークA→スポークB）と復路（スポークB→スポークA）が異なるAZのTGWエンドポイントを経由するケースがあり、ステートフルアプライアンスで非対称なトラフィックフローが発生します。ステートフルファイアウォールは双方向のパケットを同一インスタンスで処理しなければ状態を追跡できないため、セッションがドロップされます。セキュリティVPCのTGWアタッチメントでAppliance Modeを有効にすると、同一フローの往復パケットが同じAZのエンドポイントに固定されます。 選択肢Aは、クロスゾーン負荷分散の無効化はGWLBの分散先を同一AZ内に制限しますが、TGWレベルでのAZ間非対称ルーティング問題を根本的に解決しません。 選択肢Cは、戻りルートの欠如は接続不能の原因になりますが、今回は「一部のセッション」がドロップされているためルート不足ではなくAZ間の非対称性が原因です。 選択肢Dは、GWLBエンドポイントはセキュリティVPC側に配置するアーキテクチャが一般的であり、スポークVPCへのエンドポイント追加はこの問題の解決策ではありません。