Pour sécuriser la connectivité entre le VPC d'une entreprise et son centre de données sur site, un ingénieur en sécurité a testé ICMP en envoyant un ping depuis un hôte sur site (203.0.113.12) vers une instance Amazon EC2 (172.31.16.139). Le ping n'a reçu aucune réponse. Quelle action doit être entreprise pour que le ping réussisse ?

Le ping n'a pas reçu de réponse, ce qui indique que le trafic de retour (la réponse ICMP) n'a pas pu atteindre l'hôte sur site. Les NACL sont sans état, ce qui signifie qu'elles ne suivent pas les connexions et nécessitent des règles explicites pour le trafic entrant et sortant. Pour qu'une réponse ICMP puisse quitter le VPC et retourner vers l'hôte sur site, une règle de sortie autorisant le trafic ICMP doit être présente dans la NACL associée au sous-réseau de l'instance EC2. Le groupe de sécurité de l'instance EC2 contrôle le trafic au niveau de l'instance et est avec état, donc si le ping initial a pu atteindre l'instance, la réponse serait autorisée par défaut si le groupe de sécurité autorise le trafic entrant. Cependant, la NACL est le premier point de contrôle en sortie du sous-réseau.