Ein Unternehmen betreibt einen Webserver auf einer Amazon EC2-Instance in einem öffentlichen Subnetz mit einer Elastic IP-Adresse. Die Instance verwendet die Standard-Sicherheitsgruppe, und die Standard-Netzwerk-ACL wurde so geändert, dass sie den gesamten Datenverkehr blockiert. Ein Solutions Architect muss den Webserver von überall her über Port 443 zugänglich machen. Welche Kombination von Schritten wird dies erreichen? (Wählen Sie zwei.)

Um den Webserver über Port 443 zugänglich zu machen, müssen sowohl die Sicherheitsgruppe als auch die Netzwerk-ACL korrekt konfiguriert werden, da beide als Firewall fungieren. Die erste korrekte Antwort ist, eine Sicherheitsgruppe mit einer Regel zu erstellen, die eingehenden TCP-Port 443 von der Quelle 0.0.0.0/0 erlaubt. Sicherheitsgruppen sind zustandsbehaftet, d.h. der ausgehende Datenverkehr wird automatisch erlaubt, wenn der eingehende Datenverkehr erlaubt ist. Die Option "zum Ziel 0.0.0.0/0" ist falsch, da Sicherheitsgruppenregeln für eingehenden Datenverkehr die Quelle definieren. Die zweite korrekte Antwort ist, die Netzwerk-ACL zu aktualisieren, um eingehenden TCP-Port 443 von 0.0.0.0/0 und ausgehenden TCP-Port 32768-65535 (ephemere Ports) zum Ziel 0.0.0.0/0 zu erlauben. Netzwerk-ACLs sind zustandslos und erfordern explizite Regeln für eingehenden und ausgehenden Datenverkehr. Da die Standard-Netzwerk-ACL so geändert wurde, dass sie den gesamten Datenverkehr blockiert, müssen diese Regeln hinzugefügt werden. Die Option, nur eingehenden Port 443 in der Netzwerk-ACL zu erlauben, ist unzureichend, da der ausgehende Rückverkehr ebenfalls blockiert würde.