Una empresa ejecutará una aplicación de procesamiento de datos con un uso intensivo de computación en AWS. La VPC no debe tener acceso directo a Internet y debe contar con controles de red estrictos. Los científicos de datos transfieren datos desde un centro de datos local a través de una VPN de sitio a sitio. La red local utiliza 172.31.0.0/20 y la VPC de la aplicación utiliza 172.31.16.0/20. Los científicos de datos pueden lanzar instancias, pero no pueden transferir datos desde las instalaciones. Los registros de flujo de VPC de un ping muestran entradas de tráfico denegadas o faltantes. ¿Qué cambio permitirá a los científicos de datos transferir datos desde la red local?

La opción correcta es modificar las ACL de red para la subred de la VPC, añadiendo una regla de salida para permitir el tráfico desde el rango de la subred de la VPC al rango de red del centro de datos local. Las ACL de red son sin estado, lo que significa que tanto el tráfico de entrada como el de salida deben permitirse explícitamente. Aunque el tráfico de entrada desde el centro de datos local (172.31.0.0/20) puede estar permitido (o no denegado explícitamente), la respuesta de la aplicación (172.31.16.0/20) necesita una regla de salida correspondiente en la ACL de red para regresar al centro de datos. Los grupos de seguridad son con estado, por lo que una regla de entrada permite automáticamente el tráfico de retorno, pero las ACL de red requieren reglas separadas para cada dirección. Las opciones que modifican el grupo de seguridad son incorrectas porque el problema se centra en la transferencia de datos y los registros de flujo, lo que apunta a un problema de ACL de red, que son más restrictivas y sin estado.