Eine Auto Scaling-Gruppe von EC2-Instances betreibt Anwendung A hinter einem Network Load Balancer im selben Subnetz. On-Premises-Systeme können Anwendung A auf Port 8080 nicht erreichen. Flow Logs wurden überprüft und zeigen abgelehnte Verbindungen. Was erklärt die abgelehnten Verbindungen?

Die Netzwerk-ACL des Subnetzes blockiert ausgehende Verbindungen für den kurzlebigen Portbereich. Dies ist die wahrscheinlichste Ursache, da Network Load Balancer (NLB) Quell-IP-Adressen beibehalten. Wenn On-Premises-Systeme versuchen, über den NLB eine Verbindung herzustellen, sendet der NLB den Traffic an die EC2-Instanzen. Die EC2-Instanzen müssen dann eine Antwort an die On-Premises-Systeme zurücksenden. Diese ausgehende Antwort verwendet einen kurzlebigen Quellport. Wenn die Netzwerk-ACL des Subnetzes diese Ports blockiert, schlägt die Verbindung fehl. Die Sicherheitsgruppe der EC2-Instanzen ist unwahrscheinlich, da sie normalerweise eingehenden Datenverkehr vom NLB zulassen würde, und Flow Logs würden abgelehnte Verbindungen anzeigen, wenn die eingehende Regel fehlte. Ein NLB hat keine Sicherheitsgruppen. Eine On-Premises-ACL könnte Verbindungen blockieren, aber Flow Logs auf AWS würden dies nicht direkt als abgelehnte Verbindung innerhalb von AWS anzeigen.