Firma będzie uruchamiać aplikację do przetwarzania danych wymagającą dużej mocy obliczeniowej w AWS. VPC nie może mieć bezpośredniego dostępu do Internetu i musi mieć ścisłe kontrole sieciowe. Naukowcy zajmujący się danymi przesyłają dane z centrum danych on-premises za pośrednictwem Site-to-Site VPN. Sieć on-premises używa zakresu 172.31.0.0/20, a VPC aplikacji używa zakresu 172.31.16.0/20. Naukowcy zajmujący się danymi mogą uruchamiać instancje, ale nie mogą przesyłać danych z sieci on-premises. Logi przepływu VPC dla pingu pokazują odrzucone lub brakujące wpisy ruchu. Jaka zmiana pozwoli naukowcom zajmującym się danymi przesyłać dane z sieci on-premises?

Problem polega na tym, że naukowcy mogą uruchamiać instancje, ale nie mogą przesyłać danych, a logi przepływu VPC pokazują odrzucony ruch. Oznacza to, że połączenie inicjowane z on-premises (ruch przychodzący do VPC) jest prawdopodobnie dozwolone, ale odpowiedź z VPC (ruch wychodzący z VPC) jest blokowana. Grupy zabezpieczeń są stanowe, co oznacza, że ruch wychodzący jest automatycznie dozwolony, jeśli ruch przychodzący został dozwolony. Listy kontroli dostępu do sieci (ACL) są bezstanowe i wymagają jawnego zezwolenia zarówno na ruch przychodzący, jak i wychodzący. Ponieważ ruch przychodzący (ping) jest odrzucany lub brakuje wpisów, wskazuje to na problem z ACL. Dodanie reguły wychodzącej w ACL dla podsieci VPC, zezwalającej na ruch do zakresu sieci on-premises, umożliwi instancjom w VPC wysyłanie odpowiedzi z powrotem do centrum danych, co jest niezbędne do przesyłania danych.