Una subred pública aloja dos instancias de Amazon EC2 y utiliza una ACL de red personalizada. El diseño debe: (1) permitir el acceso de salida a un servicio de internet a través de TLS (TCP 443) y (2) denegar el tráfico de entrada a MySQL (TCP 3306). ¿Qué reglas de ACL de red satisfacen estos requisitos?

La ACL de red es sin estado, lo que significa que las reglas de entrada y salida se evalúan de forma independiente. Para la entrada, la regla 100 deniega explícitamente el tráfico a TCP 3306, cumpliendo el requisito de seguridad. La regla 200 permite el tráfico de entrada a TCP 443, que es necesario para las respuestas del servicio de Internet (TLS) que se originan desde las instancias. Para la salida, la regla 100 permite el tráfico a TCP 443, lo que permite que las instancias se conecten a servicios de Internet a través de TLS. Las ACL de red se procesan en orden numérico, y la primera regla que coincide con el tráfico se aplica. Las opciones incorrectas no cumplen con todos los requisitos o tienen reglas redundantes/ineficientes. Por ejemplo, permitir un rango de puertos efímeros en la entrada es necesario para las respuestas, pero la opción correcta lo logra con TCP 443 específico si solo se espera esa respuesta.