Uma sub-rede pública hospeda duas instâncias EC2 e usa uma ACL de rede personalizada. O projeto deve: (1) permitir acesso de saída a um serviço de internet via TLS (TCP 443) e (2) negar tráfego de entrada para MySQL (TCP 3306). Quais regras da ACL de rede satisfazem esses requisitos?

A Network ACL é sem estado, o que significa que as regras de entrada e saída devem ser explicitamente definidas. A ordem das regras é importante, pois a primeira regra correspondente é aplicada. A opção correta atende aos requisitos: Regra de entrada 100: Negar TCP 3306. Nega o tráfego de entrada para MySQL. Como esta é a primeira regra, ela tem precedência. Regra de entrada 200: Permitir TCP 443. Permite o tráfego de entrada necessário para as respostas de retorno da conexão TLS de saída. Embora o requisito seja para acesso de saída, a ACL de rede sem estado exige que as portas efêmeras de retorno sejam permitidas na entrada. Regra de saída 100: Permitir TCP 443. Permite o acesso de saída ao serviço de internet via TLS. As outras opções estão incorretas porque: A primeira opção não nega o tráfego de entrada para MySQL antes de permitir outras portas. A segunda e terceira opções permitem uma ampla gama de portas efêmeras de entrada (1024-65535) antes de negar 3306, o que pode permitir 3306 se a regra de permissão for avaliada primeiro. Além disso, permitir todas as portas efêmeras na entrada pode ser excessivamente permissivo se não for estritamente necessário.