ある企業が、AWSでコンピューティング負荷の高いデータ処理アプリケーションを実行します。VPCは直接インターネットにアクセスできず、厳格なネットワーク制御が必要です。データサイエンティストは、Site-to-Site VPNを介してオンプレミスデータセンターからデータを転送します。オンプレミスネットワークは172.31.0.0/20を使用し、アプリケーションVPCは172.31.16.0/20を使用します。データサイエンティストはインスタンスを起動できますが、オンプレミスからデータを転送できません。pingのVPCフローログには、拒否された、または欠落したトラフィックエントリが表示されます。データサイエンティストがオンプレミスネットワークからデータを転送できるようにするには、どのような変更が必要ですか？

VPCフローログに拒否されたトラフィックが表示されることから、ネットワークACLが原因である可能性が高いです。ネットワークACLはステートレスであり、インバウンドルールとアウトバウンドルールの両方を明示的に許可する必要があります。データサイエンティストがオンプレミスからデータを転送できないのは、VPCからオンプレミスへのアウトバウンドトラフィックがブロックされているためです。したがって、VPCサブネットからオンプレミスネットワークへのアウトバウンドトラフィックを許可するネットワークACLルールを追加する必要があります。セキュリティグループはインスタンスレベルで機能し、通常はデフォルトでアウトバウンドトラフィックを許可するため、今回の問題の直接的な原因ではありません。インバウンドルールのみの変更では、VPCからオンプレミスへの応答トラフィックは許可されません。