AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 AWS 服务入门。

示例：共享服务 VPC 中的设备

您可以在共享服务 VPC 中配置设备（例如安全设备）。在 Transit Gateway 挂载之间路由的所有流量首先由共享服务 VPC 中的设备进行检查。

概述

下表展示了此方案配置的主要组成部分。中转网关有三个 VPC 挂载。VPC C 是共享服务 VPC。VPC A 和 VPC B 之间的流量将路由到中转网关，然后路由到 VPC C 中的安全设备进行检查，接着路由到最终目的地。设备是一个有状态的设备，因此将同时检查请求和响应流量。为了实现高可用性，VPC C 的每个可用区中都有一个设备。

您为此场景创建以下实体：

为有状态设备启用设备模式支持

默认情况下，在 VPC 挂载之间路由流量时，中转网关会将流量保持在发出流量的同一可用区内，直到流量到达目的地。只有在可用区出现故障或该可用区中没有与 VPC 挂载关联的子网时，流量才会在挂接之间跨过可用区。如果您的 VPC 挂载跨越多个可用区，并且您需要通过同一设备路由源主机和目标主机之间的流量以进行状态检查，请为设备所在的 VPC 挂载启用设备模式支持。这可确保双向流量以对称方式路由，在流量的生命周期内，它将通过 VPC 挂载中的同一可用区路由。

下图显示未启用设备模式支持时的流量。源自 VPC B 中可用区 2 的响应流量由中转网关路由到 VPC C 中的同一可用区。因此，由于可用区 2 中的设备不知道来自 VPC A 中源的原始请求，流量被丢弃。

路由选择

每个 VPC 都有一个或多个路由表，中转网关有两个路由表。

VPC 路由表

VPC A 和 B 的路由表包含 2 个条目。第一个条目是 VPC 中本地 IPv4 路由的默认条目。此默认条目使该 VPC 中的资源能够相互通信。第二个条目将所有其他 IPv4 子网流量路由到中转网关。以下是 VPC A 的路由表。

共享服务 VPC (VPC C) 对于每个子网有不同的路由表。子网 A 由中转网关使用（您在创建 VPC 挂载时指定此子网）。子网 A 的路由表将所有流量路由到子网 B 中的设备。

子网 B（包含设备）的路由表将流量路由回中转网关。

中转网关路由表

此中转网关为 VPC A 和 VPC B 使用一个路由表，并为共享服务 VPC (VPC C) 使用一个路由表。

VPC A 和 VPC B 挂载与以下路由表关联。路由表将所有流量路由到 VPC C。

VPC C 挂载与以下路由表相关联。它将流量路由到 VPC A 和 VPC B。