Een publiek subnet host twee Amazon EC2-instances en gebruikt een aangepaste netwerk-ACL. Het ontwerp moet: (1) uitgaande toegang tot een internetdienst via TLS (TCP 443) toestaan en (2) inkomend verkeer naar MySQL (TCP 3306) weigeren. Welke netwerk-ACL-regels voldoen aan deze vereisten?

De correcte optie voldoet aan beide vereisten. Inkomende regel 100 weigert specifiek TCP 3306, wat voorkomt dat MySQL-verkeer het subnet bereikt. Inkomende regel 200 staat TCP 443 toe, wat nodig is voor de terugkerende antwoorden van de internetdienst (TLS). Uitgaande regel 100 staat TCP 443 toe, waardoor de EC2-instances verbinding kunnen maken met de internetdienst. De andere opties zijn onjuist omdat: Optie 1 staat inkomend TCP 443 toe, wat niet direct nodig is voor uitgaande TLS, en mist een regel voor de dynamische poorten die nodig zijn voor terugkerend verkeer. Optie 2 staat inkomend TCP 1024-65535 toe, wat te breed is en potentieel ongewenst verkeer toelaat. Optie 3 staat inkomend TCP 1024-65535 toe, wat te breed is en de vereiste om TCP 3306 te weigeren niet specifiek genoeg afhandelt als er geen expliciete weigering is vóór de toelatingsregel.