Un'azienda eseguirà un'applicazione di elaborazione dati ad alta intensità di calcolo su AWS. La VPC non deve avere accesso diretto a Internet e deve avere controlli di rete rigorosi. Gli scienziati dei dati trasferiscono i dati da un data center on-premises tramite una Site-to-Site VPN. La rete on-premises utilizza 172.31.0.0/20 e la VPC dell'applicazione utilizza 172.31.16.0/20. Gli scienziati dei dati possono avviare istanze ma non possono trasferire dati da on-premises. I log di flusso della VPC di un ping mostrano voci di traffico negate o mancanti. Quale modifica consentirà agli scienziati dei dati di trasferire i dati dalla rete on-premises?

La risposta corretta è modificare le ACL di rete per la sottorete VPC aggiungendo una regola in uscita. Le Network ACL (NACL) sono firewall stateless a livello di sottorete, il che significa che il traffico in entrata e in uscita deve essere esplicitamente consentito. I gruppi di sicurezza, invece, sono stateful e gestiscono automaticamente il traffico di ritorno. Poiché i log di flusso mostrano traffico negato o mancante, è probabile che le NACL stiano bloccando la comunicazione. Per consentire il trasferimento di dati da on-premises (che implica traffico di ritorno dalla VPC), è necessaria una regola in uscita che permetta al traffico di tornare al data center on-premises. Modificare il gruppo di sicurezza non risolverebbe il problema se il blocco avviene a livello di NACL. Aggiungere una regola in entrata alle NACL consentirebbe il traffico verso la VPC, ma non garantirebbe il traffico di ritorno dalla VPC verso on-premises, che è necessario per un trasferimento dati bidirezionale.