Ein öffentliches Subnetz hostet zwei Amazon EC2-Instances und verwendet eine benutzerdefinierte Netzwerk-ACL. Das Design muss: (1) ausgehenden Zugriff auf einen Internetdienst über TLS (TCP 443) zulassen und (2) eingehenden Datenverkehr zu MySQL (TCP 3306) verweigern. Welche Netzwerk-ACL-Regeln erfüllen diese Anforderungen?

Die korrekte Option erfüllt beide Anforderungen. Regel 100 für eingehenden Datenverkehr (Inbound) verweigert TCP 3306, was den Zugriff auf MySQL blockiert. Regel 200 für eingehenden Datenverkehr erlaubt TCP 443, was für die Rückantworten auf ausgehende TLS-Verbindungen erforderlich ist, da Netzwerk-ACLs zustandslos sind und sowohl eingehende als auch ausgehende Regeln für die Kommunikation benötigen. Regel 100 für ausgehenden Datenverkehr (Outbound) erlaubt TCP 443, was den Zugriff auf Internetdienste über TLS ermöglicht. Die erste Option ist falsch, da sie eingehenden TCP 443 erlaubt, aber keine Regel für die dynamischen Ports der Rückantworten enthält. Die zweite Option ist falsch, da sie eingehenden TCP 1024-65535 erlaubt, was zu breit ist und TCP 3306 nicht effektiv blockiert, wenn die Verweigerungsregel später kommt. Die dritte Option ist falsch, da sie eingehenden TCP 1024-65535 erlaubt, was ebenfalls zu breit ist und die Verweigerung von TCP 3306 unwirksam macht, wenn die Erlaubnisregel vor der Verweigerungsregel steht.