Dwie instancje Amazon EC2 znajdujące się w różnych podsieciach nie mogą się ze sobą komunikować, mimo że inne hosty w tych samych podsieciach mogą się komunikować, a grupy bezpieczeństwa mają odpowiednie reguły ALLOW. Jaki krok rozwiązywania problemów należy wykonać?

Poprawna odpowiedź to sprawdzenie reguł list kontroli dostępu do sieci (network ACL) dla ruchu przychodzącego i wychodzącego pod kątem wpisów DENY. Network ACLs są bezstanowe i działają na poziomie podsieci, co oznacza, że blokują ruch zarówno przychodzący, jak i wychodzący, jeśli istnieje jawna reguła DENY. Grupy bezpieczeństwa (Security Groups) są stanowe i działają na poziomie instancji, a skoro inne hosty w tych samych podsieciach mogą się komunikować, a grupy bezpieczeństwa mają odpowiednie reguły ALLOW, problem prawdopodobnie nie leży po ich stronie. Reguły grup bezpieczeństwa nie mają jawnych instrukcji DENY, a jedynie ALLOW. Przeglądanie kodów przyczyn odrzuconych pakietów w logach przepływu VPC jest dobrym krokiem, ale sprawdzenie Network ACLs jest bardziej bezpośrednim działaniem, ponieważ są one często przyczyną problemów z komunikacją między podsieciami. AWS X-Ray służy do śledzenia aplikacji i nie jest narzędziem do rozwiązywania problemów z łącznością sieciową na tym poziomie.