Eine Website betreibt eine Web-Tier (EC2 Auto Scaling-Gruppe über zwei AZs) und eine DB-Tier (RDS für MySQL Multi-AZ). Die Netzwerk-ACLs der Datenbank-Subnetze sind auf die Web-Subnetze beschränkt, die DB-Zugriff benötigen; die Web-Subnetze verwenden Standard-NACL-Regeln. Ein drittes Subnetz wurde kürzlich zur Auto Scaling-Gruppe hinzugefügt. Nach dem Skalieren sehen einige Benutzer zeitweise Fehler, dass der Webserver keine Verbindung zur Datenbank herstellen kann. Routing-Tabellen und Sicherheitsgruppen wurden überprüft. Welche Änderungen sollte ein SysOps-Administrator vornehmen, damit Webserver im neuen Subnetz die DB-Instanz erreichen können? (Wählen Sie zwei.)

Die Webserver können die Datenbank nicht erreichen, weil die Netzwerk-ACLs der Datenbank-Subnetze nicht für das neu hinzugefügte Web-Subnetz konfiguriert wurden. Netzwerk-ACLs sind zustandslos, was bedeutet, dass sowohl eingehende als auch ausgehende Regeln explizit zugelassen werden müssen. Um die Verbindung zu ermöglichen, muss eine eingehende Regel in den DB-Subnetz-NACLs für Port 3306 (MySQL) mit der Quelle des neuen Web-Subnetzes hinzugefügt werden. Zusätzlich muss eine ausgehende Regel für den ephemeren TCP-Portbereich (1024-65535) mit dem Ziel des neuen Web-Subnetzes hinzugefügt werden, damit die Datenbank die Antwort an den Webserver zurücksenden kann. Die anderen Optionen sind falsch, da: Das Hinzufügen von Regeln zur Standard-NACL der Web-Subnetze ist nicht ausreichend, da die DB-Subnetz-NACLs die Verbindung blockieren. Eine ausgehende Regel für Port 3306 von der Datenbank zum Webserver ist nicht korrekt, da die Datenbank auf einem ephemeren Port antwortet.