Firma uruchamia serwery na instancjach Amazon EC2 w VPC. Zewnętrzni dostawcy uzyskują dostęp do tych serwerów przez internet. Firma wdrożyła nową aplikację na instancjach EC2 w nowym zakresie CIDR. Grupy bezpieczeństwa i listy kontroli dostępu do sieci (network ACLs) zezwalają na wymagane porty przychodzące, ale dostawcy nadal nie mogą się połączyć. Która zmiana zapewni dostawcom dostęp do aplikacji?

Poprawna odpowiedź to modyfikacja network ACL, aby zezwolić na ruch wychodzący do portów efemerycznych. Network ACL są bezstanowe, co oznacza, że ruch przychodzący i wychodzący musi być jawnie dozwolony. Chociaż grupy bezpieczeństwa (stanowe) zezwalają na wymagane porty przychodzące, network ACL musi również zezwolić na ruch wychodzący z serwera do portów efemerycznych klienta, aby umożliwić nawiązanie połączenia. Niepoprawne opcje: Modyfikacja grupy bezpieczeństwa w celu odzwierciedlenia reguł wychodzących w regułach przychodzących jest zbędna, ponieważ grupy bezpieczeństwa są stanowe i automatycznie zezwalają na ruch powrotny. Internet gateway nie ma reguł przychodzących, które można modyfikować w ten sposób; jego rola polega na umożliwieniu komunikacji między VPC a internetem. Modyfikacja network ACL w celu odzwierciedlenia reguł wychodzących w regułach przychodzących nie rozwiązuje problemu braku zezwolenia na ruch wychodzący do portów efemerycznych.