Per proteggere la connettività tra la VPC di un'azienda e il suo data center on-premise, un ingegnere della sicurezza ha testato ICMP inviando un ping da un host on-premise (203.0.113.12) a un'istanza Amazon EC2 (172.31.16.139). Il ping non ha ricevuto risposta. Quale azione dovrebbe essere intrapresa per consentire al ping di avere successo?

Il ping non ha ricevuto risposta, indicando che il traffico ICMP non è tornato all'host on-premise. Le Network ACL (NACL) sono stateless, quindi è necessario consentire esplicitamente sia il traffico in entrata che in uscita per una comunicazione bidirezionale. Sebbene il traffico in entrata sia stato implicitamente consentito per raggiungere l'istanza EC2 (o bloccato da un'altra regola), la risposta ICMP in uscita dalla VPC è stata bloccata dalla NACL. Consentire il traffico ICMP in uscita nella NACL della VPC risolverà il problema. I gruppi di sicurezza sono stateful e consentono automaticamente il traffico di ritorno, quindi non sono la causa principale in questo scenario.