ある会社が、VPC 内の Amazon EC2 インスタンスでサーバーを運用しています。外部ベンダーはインターネット経由でこれらのサーバーにアクセスします。会社は新しい CIDR 範囲の EC2 インスタンスに新しいアプリケーションをデプロイしました。セキュリティグループとネットワーク ACL は必要なインバウンドポートを許可していますが、ベンダーは依然として接続できません。ベンダーがアプリケーションにアクセスできるようにするには、どの変更が必要ですか？

ベンダーがアプリケーションに接続できないのは、ネットワークACL (NACL) がエフェメラルポートへのアウトバウンドトラフィックを許可していないためです。NACLはステートレスであるため、インバウンドトラフィックを許可するルールがあっても、その応答として生成されるアウトバウンドトラフィック（この場合はエフェメラルポートを使用）も明示的に許可する必要があります。セキュリティグループはステートフルなので、インバウンドルールをアウトバウンドルールにミラーリングする必要はありません。インターネットゲートウェイはトラフィックのルーティングを担いますが、特定のポートの許可/拒否はNACLやセキュリティグループの役割です。NACLのアウトバウンドルールをインバウンドルールにミラーリングしても、エフェメラルポートへのアウトバウンドトラフィックは許可されません。