Une entreprise va exécuter une application de traitement de données gourmande en calcul sur AWS. Le VPC ne doit pas avoir d'accès direct à Internet et doit disposer de contrôles réseau stricts. Les scientifiques des données transfèrent des données depuis un centre de données sur site via un VPN Site-to-Site. Le réseau sur site utilise 172.31.0.0/20 et le VPC de l'application utilise 172.31.16.0/20. Les scientifiques des données peuvent lancer des instances mais ne peuvent pas transférer de données depuis le réseau sur site. Les journaux de flux VPC d'un ping montrent des entrées de trafic refusées ou manquantes. Quel changement permettra aux scientifiques des données de transférer des données depuis le réseau sur site ?

Le problème indique que les scientifiques des données peuvent lancer des instances mais ne peuvent pas transférer de données, et que les journaux de flux VPC montrent des entrées de trafic refusées ou manquantes. Cela suggère un problème avec les règles de sécurité réseau. Les ACL réseau (NACL) sont sans état et s'appliquent aux sous-réseaux, tandis que les groupes de sécurité sont avec état et s'appliquent aux instances. Puisque le trafic ne peut pas être transféré, il est probable qu'une règle sortante sur la NACL empêche la communication de retour vers le réseau sur site. L'option correcte est de modifier les ACL réseau pour le sous-réseau VPC en ajoutant une règle sortante pour autoriser le trafic de la plage de sous-réseaux VPC vers la plage réseau du centre de données sur site. Cela permettra aux données de l'application de retourner vers le centre de données sur site, complétant ainsi la communication. Les groupes de sécurité contrôlent le trafic vers et depuis les instances individuelles. Bien qu'ils soient importants, le problème décrit un échec de transfert de données plus large, qui est souvent lié aux NACL qui opèrent au niveau du sous-réseau. Modifier une règle entrante sur la NACL ou le groupe de sécurité n'aiderait pas le trafic de retour sortant.