Ein Benutzer, der mit einem EC2-Host in einem privaten Subnetz verbunden ist, kann http://www.example.com nicht mit curl abrufen. Die VPC-Konfiguration zeigt: Das private Subnetz leitet 0.0.0.0/0 an ein NAT Gateway weiter; die Outbound-Sicherheitsgruppenregel der Instanz erlaubt nur Port 443 an 0.0.0.0/0; die Inbound-Sicherheitsgruppe der Instanz erlaubt die Ports 22 und 443 von der IP des Benutzers; die Inbound-NACL des Subnetzes erlaubt Port 22 und ephemere Ports (1024–65535) von überall. Welche Änderung ermöglicht den erfolgreichen curl-HTTP-Request?

Der curl-Befehl für http://www.example.com verwendet standardmäßig Port 80. Die aktuelle Outbound-Sicherheitsgruppenregel der Instanz erlaubt jedoch nur Port 443. Um HTTP-Anfragen über Port 80 zu ermöglichen, muss eine Outbound-Regel hinzugefügt werden, die diesen Port zulässt. Sicherheitsgruppen sind zustandsbehaftet, was bedeutet, dass die Antwort auf eine ausgehende Anfrage automatisch zugelassen wird, ohne dass eine explizite eingehende Regel erforderlich ist. Das Hinzufügen einer Inbound-NACL-Regel für Port 80 ist nicht die Lösung, da die Anfrage von der Instanz ausgeht und nicht eingehend ist. Eine Inbound-Sicherheitsgruppenregel für Port 80 wäre ebenfalls falsch, da dies den Zugriff auf die Instanz über Port 80 erlauben würde, nicht aber die ausgehende Anfrage der Instanz. Eine Outbound-Sicherheitsgruppenregel, die Port 80 nur an die IP des Benutzers erlaubt, wäre zu restriktiv, da die Anfrage an example.com und nicht an den Benutzer gerichtet ist.