Uma empresa executa servidores em instâncias EC2 em uma VPC. Fornecedores externos acessam esses servidores pela internet. A empresa implantou um novo aplicativo em instâncias EC2 em um novo intervalo CIDR. Security groups e network ACLs permitem as portas de entrada necessárias, mas os fornecedores ainda não conseguem se conectar. Qual alteração fornecerá acesso dos fornecedores ao aplicativo?

A Network ACL (NACL) é stateless, o que significa que ela não mantém o estado das conexões. Para que o tráfego de retorno (respostas dos servidores aos fornecedores) seja permitido, a NACL de saída (outbound) deve explicitamente permitir o tráfego nas portas efêmeras (1024-65535), que são usadas pelos clientes para iniciar conexões. Embora os security groups já permitam o tráfego de entrada e saída, a NACL exige essa permissão explícita para o tráfego de retorno. Modificar o security group para espelhar regras de saída para entrada é incorreto porque security groups são stateful e já permitem o tráfego de retorno automaticamente. Modificar as regras de entrada do internet gateway não é uma opção, pois internet gateways não possuem regras de entrada configuráveis. Espelhar as regras de saída para entrada na NACL não é a solução correta, pois o problema é a falta de permissão explícita para as portas efêmeras no tráfego de saída.