Zwei Amazon EC2-Instances in verschiedenen Subnetzen können nicht miteinander kommunizieren, obwohl andere Hosts in denselben Subnetzen kommunizieren können und die Sicherheitsgruppen entsprechende ALLOW-Regeln haben. Welcher Schritt zur Fehlerbehebung sollte durchgeführt werden?

Die Netzwerk-ACLs (Network Access Control Lists) sind zustandslose Firewalls auf Subnetz-Ebene, die den gesamten Datenverkehr, der in ein Subnetz hinein- oder herausgeht, steuern. Im Gegensatz zu Sicherheitsgruppen, die standardmäßig alles zulassen, was nicht explizit verweigert wird, haben Netzwerk-ACLs explizite DENY-Regeln, die den Datenverkehr blockieren können, auch wenn Sicherheitsgruppen ihn zulassen würden. Da die Kommunikation zwischen Hosts in denselben Subnetzen funktioniert und die Sicherheitsgruppen korrekt konfiguriert sind, ist es sehr wahrscheinlich, dass eine DENY-Regel in den Netzwerk-ACLs den Datenverkehr zwischen den spezifischen Subnetzen verhindert. Die Überprüfung der VPC Flow Logs ist zwar nützlich, aber die Netzwerk-ACLs sind die direktere Ursache. AWS X-Ray ist für die Anwendungsüberwachung gedacht und nicht für Netzwerk-Konnektivitätsprobleme auf dieser Ebene. Explizite DENY-Anweisungen in Sicherheitsgruppen gibt es nicht, da diese standardmäßig alles verweigern, was nicht explizit erlaubt ist.