Dos instancias de Amazon EC2 ubicadas en subredes diferentes no pueden comunicarse entre sí, a pesar de que otros hosts en las mismas subredes sí pueden comunicarse y los grupos de seguridad tienen reglas ALLOW apropiadas. ¿Qué paso de resolución de problemas se debe realizar?

La respuesta correcta es inspeccionar las reglas de entrada y salida de la ACL de red en busca de entradas DENY que bloqueen el tráfico. Las ACL de red (NACLs) son sin estado y procesan las reglas en orden numérico. Si una entrada DENY explícita bloquea el tráfico entre las subredes, las instancias no podrán comunicarse, incluso si los grupos de seguridad lo permiten. Los grupos de seguridad son con estado y solo tienen reglas ALLOW implícitas, por lo que no pueden tener declaraciones DENY explícitas. Revisar los códigos de razón de paquetes rechazados en los VPC flow logs podría ser un paso posterior, pero la inspección directa de las NACLs es más eficiente para este escenario. AWS X-Ray se utiliza para el rastreo de aplicaciones y no para la resolución de problemas de conectividad de red de bajo nivel entre instancias.