Uma empresa executará um aplicativo de processamento de dados com uso intensivo de computação na AWS. A VPC não deve ter acesso direto à internet e deve ter controles de rede rigorosos. Os cientistas de dados transferem dados de um data center on-premises por meio de uma VPN Site-to-Site. A rede on-premises usa 172.31.0.0/20 e a VPC do aplicativo usa 172.31.16.0/20. Os cientistas de dados podem iniciar instâncias, mas não podem transferir dados do ambiente on-premises. Os logs de fluxo da VPC de um ping mostram entradas de tráfego negadas ou ausentes. Que mudança permitirá que os cientistas de dados transfiram dados da rede on-premises?

A resposta correta é modificar as ACLs de rede para a sub-rede da VPC, adicionando uma regra de saída para permitir o tráfego do intervalo da sub-rede da VPC para o intervalo de rede do data center on-premises. As ACLs de rede são sem estado, o que significa que tanto o tráfego de entrada quanto o de saída devem ser explicitamente permitidos. Embora o tráfego de entrada possa ter sido permitido para a conexão inicial, a ausência de uma regra de saída para o tráfego de retorno (respostas) fará com que as transferências de dados falhem, resultando em entradas de tráfego negadas ou ausentes nos logs de fluxo. Modificar o security group para o aplicativo com uma regra de entrada não resolveria o problema, pois os security groups são com estado e permitem automaticamente o tráfego de retorno. Adicionar uma regra de entrada nas ACLs de rede pode ser necessário para a conexão inicial, mas não para o tráfego de retorno que está falhando. Adicionar uma regra de saída no security group também não é a solução, pois o problema está na natureza sem estado das ACLs de rede.