한 회사에서 새로 생성된 VPC의 퍼블릭 서브넷에서 Amazon SageMaker AI 도메인을 실행합니다. 네트워크가 구성되어 있으며 엔지니어는 도메인에 액세스할 수 있습니다. 회사는 특정 IP 주소에서 발생하는 의심스러운 트래픽을 발견했으며 해당 IP를 차단해야 합니다. 어떤 네트워크 구성 변경이 이를 달성할까요?

네트워크 ACL(NACL)은 서브넷 수준에서 작동하며 인바운드 및 아웃바운드 트래픽을 허용하거나 거부하는 규칙을 정의합니다. 특정 IP 주소의 트래픽을 명시적으로 거부하는 인바운드 규칙을 생성하고 이를 SageMaker 도메인이 위치한 서브넷과 연결된 NACL에 적용하면 해당 IP 주소의 모든 트래픽이 서브넷에 도달하기 전에 차단됩니다. 보안 그룹은 인스턴스 수준에서 작동하며 기본적으로 모든 인바운드 트래픽을 거부하고 허용 규칙만 정의할 수 있습니다. 특정 IP를 거부하는 규칙을 직접 생성할 수 없습니다. SageMaker Inference Recommender는 모델 배포 최적화 도구이며 트래픽 차단과는 관련이 없습니다. VPC 라우팅 테이블은 트래픽이 서브넷 외부로 라우팅되는 방식을 제어하며 특정 IP 주소의 인바운드 트래픽을 차단하는 데 사용되지 않습니다.