解説

Transit Gatewayと集中検査VPCを組み合わせたアーキテクチャでは、専用の検査VPC（Inspection VPC）にAWS Network Firewallをデプロイし、TGWのルートテーブルを操作してすべてのトラフィックを検査VPC経由に誘導します。 この構成で特に重要なのが「ApplianceModeサポート」です。TGWはデフォルトでトラフィックを受信したAZと同じAZのアタッチメントを通じて転送するため、マルチAZ構成のファイアウォールでは同一セッションの往路と復路が異なるAZのアプライアンスインスタンスを通過する「非対称ルーティング」が発生します。ApplianceModeを有効化すると、TGWがフロー単位でハッシュを行い、同一セッションの往復トラフィックを同一のアタッチメント（アプライアンスインスタンス）に固定するため、ステートフルな検査が確実に機能します。 選択肢AのAWS Network Firewall分散デプロイは、VPC間（East-West）トラフィックをインターセプトできず集中管理も不可能なため要件を満たしません。 選択肢CのGateway Load Balancerを用いた構成は集中検査の方向性は正しいですが、ApplianceModeが無効なため非対称ルーティングが発生しステートフル検査が機能しません。 選択肢DのAWS Network Firewallを集中VPCに置く構成もApplianceModeが無効なため、選択肢Cと同様に非対称ルーティングの問題が生じます。