Una empresa ejecuta servidores en instancias de Amazon EC2 en una VPC. Los proveedores externos acceden a estos servidores a través de Internet. La empresa implementó una nueva aplicación en instancias EC2 en un nuevo rango CIDR. Los grupos de seguridad y las ACL de red permiten los puertos de entrada requeridos, pero los proveedores aún no pueden conectarse. ¿Qué cambio proporcionará acceso a la aplicación a los proveedores?

Las ACL de red (NACL) son sin estado, lo que significa que deben permitir explícitamente tanto el tráfico de entrada como el de salida. Aunque los grupos de seguridad y las NACL de entrada permiten los puertos requeridos, si la NACL de salida no permite el tráfico de retorno a los puertos efímeros que los proveedores utilizan para sus conexiones salientes, la conexión fallará. Los puertos efímeros son puertos de origen aleatorios (generalmente 1024-65535) que los clientes utilizan para establecer conexiones. Modificar el grupo de seguridad de salida es incorrecto porque los grupos de seguridad son con estado y permiten automáticamente el tráfico de retorno. Modificar las reglas de entrada del internet gateway es incorrecto porque un internet gateway no tiene reglas de entrada configurables de esta manera. Reflejar las reglas de entrada en la NACL de salida es incorrecto porque las reglas de salida deben permitir el tráfico de retorno a los puertos efímeros, no necesariamente los mismos puertos que el tráfico de entrada.