Un'azienda esegue server su istanze Amazon EC2 in una VPC. I fornitori esterni accedono a questi server tramite internet. L'azienda ha distribuito una nuova applicazione su istanze EC2 in un nuovo intervallo CIDR. I security group e le network ACL consentono le porte in entrata richieste, ma i fornitori non riescono ancora a connettersi. Quale modifica consentirà ai fornitori di accedere all'applicazione?

La risposta corretta è "Modificare la network ACL associata all'intervallo CIDR per consentire il traffico in uscita verso le porte effimere". Le Network ACL sono stateless, il che significa che il traffico di ritorno deve essere esplicitamente consentito. Quando i fornitori si connettono, il traffico in entrata utilizza le porte specificate (es. 80, 443), ma il traffico di risposta in uscita dal server EC2 utilizzerà porte effimere (1024-65535). Se la Network ACL non consente esplicitamente queste porte in uscita, la connessione fallirà. Le altre opzioni sono errate perché: I security group sono stateful, quindi non è necessario rispecchiare le regole in uscita. L'Internet Gateway non ha regole in entrata configurabili dall'utente in questo contesto. Rispecchiare le regole in uscita nelle regole in entrata per la Network ACL non risolverebbe il problema delle porte effimere in uscita.