Administrator SysOps uruchamia publiczną witrynę internetową na instancji EC2 umieszczonej w istniejącej podsieci publicznej i przypisuje Elastic IP. Następnie administrator dołączył grupę zabezpieczeń zezwalającą na przychodzący ruch HTTP (port 80) z 0.0.0.0/0. Utworzono i zastosowano nową listę kontroli dostępu do sieci (network ACL) dla podsieci, zezwalającą na przychodzący ruch HTTP z 0.0.0.0/0. Pomimo tych zmian witryna jest nadal niedostępna z internetu. Jaki jest najbardziej prawdopodobny powód?

Poprawna odpowiedź to: Nowa network ACL nie posiada reguły wychodzącej zezwalającej na ruch powrotny na portach efemerycznych. Network ACL są bezstanowe, co oznacza, że muszą mieć jawne reguły zarówno dla ruchu przychodzącego, jak i wychodzącego, w tym dla ruchu powrotnego. Chociaż reguła przychodząca zezwala na ruch HTTP, brak reguły wychodzącej dla portów efemerycznych (1024-65535) uniemożliwia instancji EC2 wysyłanie odpowiedzi z powrotem do klienta. Nieprawidłowe opcje: Grupa zabezpieczeń nie posiada reguły wychodzącej zezwalającej na ruch HTTP z portu 80. Grupy zabezpieczeń są stanowe, więc automatycznie zezwalają na ruch wychodzący w odpowiedzi na dozwolony ruch przychodzący. Elastic IP, który został przypisany do instancji, został ponownie przypisany do innego zasobu. Gdyby tak było, instancja byłaby niedostępna, ale problemem byłby brak dostępu, a nie brak odpowiedzi. Inna network ACL dołączona do podsieci zawiera regułę, która jawnie blokuje przychodzący ruch na porcie 80. W pytaniu jest mowa o "nowej" network ACL, co sugeruje, że jest to jedyna lub główna ACL. Ponadto, reguła zezwalająca na ruch przychodzący została już dodana.