Para asegurar la conectividad entre la VPC de una empresa y su centro de datos local, un ingeniero de seguridad probó ICMP enviando un ping desde un host local (203.0.113.12) a una instancia de Amazon EC2 (172.31.16.139). El ping no recibió respuesta. ¿Qué acción se debe tomar para que el ping tenga éxito?

La respuesta correcta es permitir el tráfico ICMP saliente en la ACL de red (NACL) de la VPC. Las NACL son sin estado, lo que significa que deben permitir explícitamente tanto el tráfico entrante como el saliente para que una conexión funcione. Aunque el grupo de seguridad de la instancia EC2 probablemente ya permite ICMP entrante (para que la instancia pueda recibir el ping), la NACL asociada a la subred de la instancia también debe permitir el tráfico ICMP saliente para que la respuesta del ping pueda regresar al host local. Las otras opciones son incorrectas porque: Permitir ICMP entrante en el grupo de seguridad de la instancia EC2 es necesario, pero no suficiente si la NACL bloquea la respuesta. Los grupos de seguridad son con estado y permiten automáticamente el tráfico de retorno. Permitir ICMP saliente en el grupo de seguridad de la instancia EC2 es redundante si el ICMP entrante ya está permitido, ya que los grupos de seguridad son con estado. Permitir ICMP entrante en la ACL de red (NACL) de la VPC es necesario para que el ping llegue a la instancia, pero no resuelve el problema de que la respuesta no regrese.