Um grupo do Auto Scaling de instâncias EC2 executa o Aplicativo A atrás de um Network Load Balancer na mesma sub-rede. Os sistemas on-premises não conseguem acessar o Aplicativo A na porta 8080. Os logs de fluxo foram revisados e mostram tráfego rejeitado. O que explica as conexões rejeitadas?

A ACL de rede (NACL) da sub-rede está bloqueando as conexões de saída para o intervalo de portas efêmeras. Network Load Balancers (NLBs) são dispositivos de camada 4 que preservam o IP de origem do cliente. Quando um cliente on-premises se conecta ao NLB na porta 8080, o NLB encaminha essa conexão para a instância EC2. A instância EC2 responde ao cliente on-premises usando uma porta efêmera (1024-65535). Se a NACL da sub-rede não permitir o tráfego de saída nessas portas efêmeras para o IP de origem do cliente on-premises, a conexão será rejeitada. As outras opções estão incorretas porque: O security group das instâncias EC2 precisa permitir o tráfego de entrada do NLB, mas a rejeição ocorre na resposta de saída da instância. NLBs não possuem security groups. Embora uma ACL on-premises possa bloquear o tráfego, a questão indica que os logs de fluxo da AWS mostram tráfego rejeitado, apontando para um problema na AWS.