Een bedrijf gaat een rekenintensieve dataverwerkingsapplicatie draaien op AWS. De VPC mag geen directe internettoegang hebben en moet strikte netwerkcontroles toepassen. Data scientists dragen gegevens over vanuit een on-premises datacenter via een Site-to-Site VPN. Het on-premises netwerk gebruikt 172.31.0.0/20 en de applicatie-VPC gebruikt 172.31.16.0/20. Data scientists kunnen instances starten, maar kunnen geen gegevens overdragen vanuit on-premises. VPC flow logs van een ping tonen geweigerde of ontbrekende verkeersvermeldingen. Welke wijziging zal de data scientists in staat stellen gegevens over te dragen vanuit het on-premises netwerk?

De data scientists kunnen instances starten, wat betekent dat de inkomende connectiviteit van on-premises naar AWS waarschijnlijk al is geconfigureerd. Het probleem is het overdragen van gegevens, wat vaak tweerichtingsverkeer vereist. De VPC flow logs tonen geweigerde of ontbrekende verkeersvermeldingen, wat duidt op een netwerklaagprobleem. Netwerk-ACL's (NACL's) zijn stateless en controleren zowel inkomend als uitgaand verkeer op subnetniveau. Hoewel de inkomende regel voor on-premises naar AWS waarschijnlijk bestaat, is een expliciete uitgaande regel van het VPC-subnet naar het on-premises netwerkbereik nodig voor de terugkerende dataoverdracht, omdat NACL's geen verbindingen volgen. Security groups zijn stateful en zouden automatisch terugkerend verkeer toestaan als de initiële inkomende verbinding was toegestaan, dus dit is minder waarschijnlijk de oorzaak.