Om de connectiviteit tussen de VPC van een bedrijf en het on-premises datacenter te beveiligen, testte een beveiligingsengineer ICMP door een ping te sturen van een on-premises host (203.0.113.12) naar een Amazon EC2-instantie (172.31.16.139). De ping ontving geen antwoord. Welke actie moet worden ondernomen om de ping te laten slagen?

De Network Access Control List (NACL) is stateless, wat betekent dat zowel inkomend als uitgaand verkeer expliciet moet worden toegestaan. Hoewel de security group waarschijnlijk al uitgaand ICMP toestaat (security groups zijn stateful), blokkeert de NACL mogelijk het antwoord van de EC2-instantie terug naar de on-premises host. Om een ping te laten slagen, moet de EC2-instantie een ICMP-antwoord kunnen versturen. Dit uitgaande ICMP-verkeer moet worden toegestaan in de NACL die geassocieerd is met het subnet van de EC2-instantie. De andere opties zijn onjuist omdat inkomend ICMP naar de EC2-instantie waarschijnlijk al is toegestaan door de security group, en de NACL is de meest waarschijnlijke blokkade voor het uitgaande antwoord.