Een bedrijf draait servers op Amazon EC2 instances in een VPC. Externe leveranciers hebben via het internet toegang tot deze servers. Het bedrijf heeft een nieuwe applicatie geïmplementeerd op EC2 instances in een nieuw CIDR-bereik. Security groups en netwerk-ACL's staan de vereiste inkomende poorten toe, maar leveranciers kunnen nog steeds geen verbinding maken. Welke wijziging zal leveranciers toegang geven tot de applicatie?

De correcte optie is om de netwerk-ACL te wijzigen om uitgaand verkeer naar ephemeral poorten toe te staan. TCP-verbindingen vereisen dat het antwoordverkeer van de server via ephemeral poorten kan terugkeren naar de client. Hoewel de inkomende regels de initiële verbinding toelaten, blokkeert een restrictieve uitgaande netwerk-ACL het antwoordverkeer. Security groups zijn stateful, wat betekent dat ze automatisch antwoordverkeer toestaan als de inkomende verbinding is toegestaan, dus die hoeven niet gespiegeld te worden. Netwerk-ACL's zijn stateless en vereisen expliciete regels voor zowel inkomend als uitgaand verkeer. De internet gateway heeft geen inkomende regels die gewijzigd kunnen worden; deze fungeert als een poort voor verkeer van en naar het internet. Het spiegelen van uitgaande regels aan inkomende regels in de netwerk-ACL is niet correct, omdat uitgaand verkeer naar ephemeral poorten moet worden toegestaan, niet naar de inkomende poorten.