GWLB 与 GENEVE 测验
最后更新：2026 年 10 月 15 日
1. AWS 文档说明：所有符合条件的 GWLB 目标都不健康时会发生什么？
- A) 流量会发往不健康的目标，而不是直接绕过设备
- B) 流量会直接路由到原始目标地址
- C) 每个数据包都会加密
- D) 一定能保证应用可用性
显示答案
答案：A) 流量会发往不健康的目标，而不是直接绕过设备
解释：GWLB 不会绕过设备。AWS 描述的行为是按流随机选择目标，并持续丢弃流量，直到所选目标恢复。仅健康检查故障期间仍继续转发，是一项 PoC 假设；应检查每个 AZ 中符合条件的目标和跨可用区负载均衡设置。
2. 如果没有已注册目标，新的流会怎样？
- A) 直接绕过设备
- B) 流量会被丢弃
- C) 自动创建新目标
- D) 由 WAF 改为处理 IP 流量
显示答案
答案：B) 流量会被丢弃
解释：新流没有可用目标；应验证丢包和恢复情况。应区分“所有目标不健康”和“没有已注册目标”这两种情况，并在 failover/drain 设置下分别测试现有流。
3. 使用 no_rebalance 时，现有流会怎样？
- A) 一定会连同完整会话状态一起迁移
- B) 一定会成功
- C) 仍分配到原目标；若目标不健康，可能形成黑洞
- D) 会绕过检查设备
显示答案
答案：C) 仍分配到原目标；若目标不健康，可能形成黑洞
解释：重新平衡可能重新分配流量，但不会重新创建独立设备的会话状态。两个 failover 属性的值必须相同。
4. TGW appliance mode 能确保什么？
- A) 自动启用 IPS
- B) 自动在不同防火墙间复制状态
- C) 检查所有 VPC 本地数据包
- D) 两个方向都一致地选择 inspection attachment 所在的 AZ
显示答案
答案：D) 两个方向都一致地选择 inspection attachment 所在的 AZ
解释：按流对称选择 attachment/AZ，与 GWLB 目标粘性和厂商会话共享不同。Appliance mode 会取代 TGW 默认优先选择流量来源 AZ 的行为。
5. 是否可以同时使用精简的二元组/三元组粘性和 TGW appliance mode？
- A) 不可以，文档说明了这一约束
- B) 总是可以
- C) 只要开放 UDP 6081 即可
- D) 只有所有目标都不健康时才可以
显示答案
答案：A) 不可以，文档说明了这一约束
解释：当前 AWS 文档要求在 TGW appliance mode 下使用五元组。还应评估精简元组导致的负载集中，并核实受支持的组合。
6. 关于安全组，哪项说法正确？
- A) GWLB 和 GWLBE 都需要类似 ALB 的安全组
- B) 两者都不支持附加这类安全组；应检查设备/工作负载 ENI、NACL 和路由
- C) 设备安全组无关紧要
- D) NACL 是有状态的
显示答案
答案：B) 两者都不支持附加这类安全组；应检查设备/工作负载 ENI、NACL 和路由
解释：不要凭空配置 GWLB 安全组。健康检查流量和外层 GENEVE 流量仍需要通过实际路径控制。
7. 为什么需要检查 NAT 子网的返回路由？
- A) 只有 DNS 需要它
- B) 它会自动沿用出站路由
- C) 反向转换后的响应必须持续经过检查路径返回
- D) NAT 会自动复制防火墙状态
显示答案
答案：C) 反向转换后的响应必须持续经过检查路径返回
解释：只检查出站流量不够。应记录转换前后的元组并防止路由环路。
8. GWLB 是否能通过分片/PMTUD 解决所有 MTU 问题？
- A) 是，适用于所有巨型数据包
- B) 是，只要健康检查为绿色
- C) 是，只要目标许可证有效
- D) 不能；应考虑封装开销和每个网络段的 MTU
显示答案
答案：D) 不能；应考虑封装开销和每个网络段的 MTU
解释：AWS 文档给出 8500 字节的最大数据包和 68 字节开销，且 GWLB 不提供分片/PMTUD。应测试实际的数据包/协议路径。