한 회사에서 VPC의 Amazon EC2 인스턴스에서 서버를 실행합니다. 외부 공급업체는 인터넷을 통해 이러한 서버에 액세스합니다. 회사는 새로운 CIDR 범위의 EC2 인스턴스에 새 애플리케이션을 배포했습니다. 보안 그룹과 네트워크 ACL은 필요한 인바운드 포트를 허용하지만, 공급업체는 여전히 연결할 수 없습니다. 공급업체가 애플리케이션에 액세스할 수 있도록 하려면 어떤 변경이 필요할까요?

정답은 "CIDR 범위와 연결된 네트워크 ACL을 수정하여 임시 포트로의 아웃바운드 트래픽을 허용합니다"입니다. 공급업체가 새 애플리케이션에 연결할 수 없는 이유는 네트워크 ACL(NACL)이 상태 비저장 방화벽이기 때문입니다. 즉, 인바운드 트래픽을 허용하더라도 해당 응답 트래픽이 아웃바운드로 명시적으로 허용되지 않으면 차단됩니다. 클라이언트(공급업체)는 일반적으로 임시 포트(1024-65535)를 사용하여 서버와 통신하므로, NACL에서 이 범위의 아웃바운드 트래픽을 허용해야 합니다. 오답 설명: EC2 인스턴스와 연결된 보안 그룹을 수정하는 것은 올바르지 않습니다. 보안 그룹은 상태 저장 방식이므로 인바운드 규칙이 허용되면 아웃바운드 응답은 자동으로 허용됩니다. 인터넷 게이트웨이는 트래픽을 허용하거나 거부하는 규칙을 직접 구성할 수 없습니다. 이는 VPC와 인터넷 간의 연결 지점일 뿐입니다. NACL의 아웃바운드 규칙을 인바운드 규칙에 미러링하는 것은 불충분합니다. 인바운드 규칙은 특정 포트를 허용하지만, 아웃바운드 응답은 클라이언트의 임시 포트를 사용하므로 이들을 명시적으로 허용해야 합니다.