Duas instâncias Amazon EC2 localizadas em sub-redes diferentes não conseguem se comunicar, embora outros hosts nas mesmas sub-redes consigam se comunicar e os security groups tenham regras ALLOW apropriadas. Qual etapa de solução de problemas deve ser executada?

A Network Access Control List (NACL) atua como um firewall sem estado para sub-redes, processando regras na ordem numérica. Ao contrário dos security groups, as NACLs podem ter regras DENY explícitas que bloqueiam o tráfego. Como o problema afirma que outros hosts nas mesmas sub-redes conseguem se comunicar e os security groups estão corretos, é provável que uma regra DENY na NACL esteja bloqueando especificamente o tráfego entre as duas instâncias EC2. Inspecionar as regras de security group para declarações DENY explícitas está incorreto porque os security groups são firewalls com estado e não têm regras DENY explícitas; eles implicitamente negam tudo o que não é explicitamente permitido. Revisar os códigos de razão de pacotes rejeitados nos logs de fluxo da VPC é uma boa etapa de solução de problemas, mas a inspeção direta da NACL é mais eficiente para identificar bloqueios explícitos. Usar o AWS X-Ray é para rastreamento de aplicações e não para problemas de conectividade de rede de baixo nível.