Une entreprise exécute des serveurs sur des instances Amazon EC2 dans un VPC. Des fournisseurs externes accèdent à ces serveurs via Internet. L'entreprise a déployé une nouvelle application sur des instances EC2 dans une nouvelle plage CIDR. Les groupes de sécurité et les ACL réseau autorisent les ports entrants requis, mais les fournisseurs ne peuvent toujours pas se connecter. Quel changement permettra aux fournisseurs d'accéder à l'application ?

La bonne réponse est de modifier l'ACL réseau associée à la plage CIDR pour autoriser le trafic sortant vers les ports éphémères. Les ACL réseau sont sans état, ce qui signifie qu'elles ne suivent pas les connexions. Par conséquent, pour toute connexion entrante autorisée, une règle de sortie correspondante doit être ajoutée pour le trafic de retour, spécifiquement pour les ports éphémères (1024-65535) utilisés par les clients. Les groupes de sécurité sont avec état, donc leurs règles de sortie sont automatiquement gérées pour le trafic de retour, rendant la première option incorrecte. La passerelle Internet ne filtre pas le trafic en fonction des ports, ce qui invalide la troisième option. La dernière option est trop générale ; il faut spécifiquement autoriser les ports éphémères pour le trafic de retour, pas simplement refléter toutes les règles entrantes.