Masz VPC z podsieciami publicznymi i prywatnymi, a także używasz niestandardowych list kontroli dostępu do sieci (ACL). Instancje w podsieci prywatnej nie mogą uzyskać dostępu do Internetu. Brama internetowa (internet gateway) jest podłączona do podsieci publicznej, a podsieć prywatna routuje ruch do bramy NAT (NAT gateway) w podsieci publicznej. Instancje EC2 używają domyślnej grupy zabezpieczeń VPC. Jaka jest najbardziej prawdopodobna przyczyna problemu z łącznością?

Najbardziej prawdopodobną przyczyną jest to, że lista ACL sieci w podsieci prywatnej blokuje cały ruch wychodzący. Listy ACL sieci są bezstanowe i muszą zezwalać zarówno na ruch wychodzący, jak i przychodzący, w tym na ruch zwrotny. Jeśli ACL podsieci prywatnej nie zezwala na ruch wychodzący do Internetu (np. port 443, 80) lub na efemeryczne porty dla ruchu zwrotnego, instancje nie będą miały dostępu do Internetu. Pozostałe opcje są mniej prawdopodobne: Brama NAT jest wdrożona w podsieci publicznej i ruch jest do niej kierowany, więc nie jest to problem z jej brakiem w podsieci prywatnej. Domyślna grupa zabezpieczeń VPC domyślnie zezwala na cały ruch wychodzący, więc nie blokuje dostępu do Internetu. Domyślna grupa zabezpieczeń VPC domyślnie zezwala na ruch przychodzący z innych instancji w tej samej grupie, ale problem dotyczy dostępu do Internetu, a nie komunikacji wewnętrznej.