Para proteger a conectividade entre a VPC de uma empresa e seu data center on-premises, um engenheiro de segurança testou o ICMP enviando um ping de um host on-premises (203.0.113.12) para uma instância Amazon EC2 (172.31.16.139). O ping não recebeu resposta. Qual ação deve ser tomada para que o ping seja bem-sucedido?

A resposta correta é permitir o tráfego ICMP de saída na NACL da VPC. As NACLs são stateless, o que significa que tanto o tráfego de entrada quanto o de saída devem ser explicitamente permitidos. Para que o ping seja bem-sucedido, a solicitação ICMP (entrada) e a resposta ICMP (saída) precisam ser permitidas. Como o ping não recebeu resposta, a resposta de saída da instância EC2 está sendo bloqueada. As opções de security group estão incorretas porque os security groups são stateful e permitem automaticamente o tráfego de retorno se o tráfego de entrada foi permitido. A opção de permitir ICMP de entrada na NACL da VPC pode ser necessária, mas não é a razão pela qual o ping não recebeu resposta, já que a solicitação inicial provavelmente chegou à instância.