Hai una VPC con sottoreti pubbliche e private e sono in uso ACL di rete personalizzate. Le istanze della sottorete privata non riescono a raggiungere Internet. Un internet gateway è collegato alla sottorete pubblica e la sottorete privata instrada il traffico verso un NAT gateway nella sottorete pubblica. Le istanze EC2 utilizzano il gruppo di sicurezza predefinito della VPC. Qual è la causa più probabile del problema di connettività?

La causa più probabile è che una Network ACL (NACL) sulla sottorete privata stia negando il traffico in uscita. Le NACL sono stateless e valutano le regole sia per il traffico in entrata che in uscita. Se una NACL personalizzata non ha una regola esplicita per consentire il traffico in uscita (ad esempio, porta 443 o 80 per HTTP/HTTPS, o porte effimere per le risposte), bloccherà la connettività Internet anche se il NAT Gateway è configurato correttamente. Le altre opzioni sono meno probabili: "Non è stato deployato alcun NAT gateway nella sottorete privata" è errato perché la domanda afferma che la sottorete privata instrada il traffico verso un NAT Gateway nella sottorete pubblica, che è la configurazione standard. "Il gruppo di sicurezza predefinito della VPC sta bloccando tutto il traffico in entrata verso le istanze EC2" non impedirebbe alle istanze di avviare connessioni in uscita verso Internet. "Il gruppo di sicurezza predefinito della VPC sta bloccando tutto il traffico in uscita dalle istanze EC2" è meno probabile perché i gruppi di sicurezza predefiniti di solito consentono tutto il traffico in uscita per impostazione predefinita. Anche se fosse configurato per bloccare, una NACL è un controllo a livello di sottorete che agisce prima del gruppo di sicurezza.