ある企業は、10個のスポークVPCとセントラルセキュリティVPCを持つハブ＆スポーク型ネットワークアーキテクチャをAWS Transit Gatewayで構築しています。すべてのスポークVPC間のトラフィック、およびスポークVPCからインターネットへのトラフィックを、セキュリティVPC内のAWS Network Firewallで集中的に検査する設計です。 セキュリティエンジニアがこのアーキテクチャを実装したところ、Network Firewallが正常に稼働しているにもかかわらず、スポークVPC間の一部のTCPセッションが断続的に切断されるという問題が発生しました。根本原因と解決策として最も適切なものはどれですか？
この問題の根本原因は、Transit Gatewayを使った集中型Network Firewallアーキテクチャで発生する非対称ルーティング（Asymmetric Routing）です。 選択肢B（正解）：Transit Gatewayは複数のAvailability Zone（AZ）でトラフィックを処理しますが、デフォルト設定では同一TCPセッションの往路と復路が異なるAZのアタッチメントを経由する場合があります。ステートフルなNetwork Firewallは接続状態をAZ単位で管理するため、戻りパケットが異なるAZのFirewallインスタンスに到達すると、そのセッション情報を保持していないため通信を遮断します。これが「断続的」な切断として現れます。Transit GatewayアタッチメントでAppliance Mode（アプライアンスモード）を有効にすると、同一フローのすべてのパケットが常に同じAZのアタッチメントを経由するようになり、非対称ルーティングが解消されます。 選択肢Aは、ルールグループのキャパシティ不足は処理できるルール数の上限に関するものであり、TCPセッションの断続的な切断の原因にはなりません。 選択肢Cは、ルートが完全に欠如していれば通信がすべて失敗するはずであり、「断続的」な切断の説明として不適切です。 選択肢Dは、Network FirewallはSuricataベースのステートフルルールエンジンを内蔵しており、TCPセッション追跡が可能です。AWS WAFはHTTP/HTTPSのLayer 7保護が主目的であり、ネットワーク層のファイアウォールの代替にはなりません。