Ein Unternehmen betreibt Server auf Amazon EC2-Instances in einer VPC. Externe Anbieter greifen über das Internet auf diese Server zu. Das Unternehmen hat eine neue Anwendung auf EC2-Instances in einem neuen CIDR-Bereich bereitgestellt. Sicherheitsgruppen und Netzwerk-ACLs erlauben die erforderlichen eingehenden Ports, aber die Anbieter können sich immer noch nicht verbinden. Welche Änderung ermöglicht den Anbieterzugriff auf die Anwendung?

Die korrekte Antwort ist, die Netzwerk-ACL zu ändern, um ausgehenden Datenverkehr zu ephemeren Ports zuzulassen. Netzwerk-ACLs sind zustandslos, was bedeutet, dass sie sowohl eingehende als auch ausgehende Regeln explizit definieren müssen. Wenn externe Anbieter eine Verbindung herstellen, muss der Rückverkehr von den EC2-Instances über ephemere Ports zugelassen werden. Da die Anbieter keine Verbindung herstellen können, obwohl die eingehenden Ports in Sicherheitsgruppen und Netzwerk-ACLs erlaubt sind, liegt das Problem wahrscheinlich an fehlenden ausgehenden Regeln in der Netzwerk-ACL für den Rückverkehr. Die Änderung der Sicherheitsgruppe, um ausgehende Regeln zu spiegeln, ist nicht nötig, da Sicherheitsgruppen zustandsbehaftet sind und den Rückverkehr automatisch zulassen, wenn der eingehende Verkehr erlaubt ist. Die Änderung der eingehenden Regeln des Internet Gateways ist irrelevant, da Internet Gateways keine Sicherheitsregeln haben. Das Spiegeln der ausgehenden Regeln der Netzwerk-ACL auf die eingehenden Regeln würde nicht spezifisch die ephemeren Ports für den Rückverkehr adressieren und könnte unnötig viele Ports öffnen.