Użytkownik podłączony do hosta EC2 w prywatnej podsieci nie może pobrać http://www.example.com za pomocą curl. Konfiguracja VPC pokazuje: prywatna podsieć kieruje 0.0.0.0/0 do NAT Gateway; reguła wychodzącej grupy bezpieczeństwa instancji zezwala tylko na port 443 do 0.0.0.0/0; reguła przychodzącej grupy bezpieczeństwa instancji zezwala na porty 22 i 443 z adresu IP użytkownika; przychodząca NACL podsieci zezwala na port 22 i porty efemeryczne (1024–65535) z dowolnego miejsca. Jaka zmiana umożliwi pomyślne wykonanie żądania http za pomocą curl?

Prawidłowa odpowiedź to dodanie reguły wychodzącej grupy bezpieczeństwa zezwalającej na port 80 do 0.0.0.0/0. Domyślnie curl http://www.example.com używa portu 80 (HTTP). Obecna reguła wychodząca grupy bezpieczeństwa zezwala tylko na port 443, blokując ruch HTTP. Grupy bezpieczeństwa są stanowe, więc ruch wychodzący jest kontrolowany przez reguły wychodzące. Dodanie reguły przychodzącej NACL lub grupy bezpieczeństwa dla portu 80 jest niepotrzebne, ponieważ problem dotyczy ruchu wychodzącego z instancji. NACL są bezstanowe i kontrolują ruch w obu kierunkach, ale w tym przypadku problemem jest grupa bezpieczeństwa. Dodanie reguły wychodzącej grupy bezpieczeństwa zezwalającej na port 80 tylko do adresu IP użytkownika nie rozwiąże problemu, ponieważ www.example.com nie jest adresem IP użytkownika.