Un grupo de Auto Scaling de instancias EC2 ejecuta la Aplicación A detrás de un Network Load Balancer en la misma subred. Los sistemas on-premises no pueden alcanzar la Aplicación A en el puerto 8080. Se revisaron los registros de flujo (flow logs) y muestran tráfico rechazado. ¿Qué explica las conexiones rechazadas?

La respuesta correcta es que la ACL de red de la subred está bloqueando las conexiones salientes para el rango de puertos efímeros. Las Network ACLs (NACLs) son sin estado, lo que significa que deben permitir explícitamente tanto el tráfico entrante como el saliente. Si el tráfico de retorno en el rango de puertos efímeros no está permitido por la NACL de la subred, las conexiones serán rechazadas, incluso si el tráfico inicial de entrada fue permitido. Las otras opciones son incorrectas porque: Los Network Load Balancers (NLB) no tienen security groups asociados. Los security groups se aplican directamente a las instancias EC2. El security group de las instancias EC2 controla el tráfico hacia las instancias, no el tráfico de retorno que ya ha sido procesado por el NLB. Si el tráfico llegara a las instancias, el problema no sería de rechazo en los flow logs de la subred. Si una ACL on-premises estuviera bloqueando, los flow logs de AWS no mostrarían tráfico rechazado, ya que el tráfico nunca llegaría a AWS.