Для обеспечения безопасного соединения между VPC компании и ее локальным центром обработки данных инженер по безопасности протестировал ICMP, отправив ping с локального хоста (203.0.113.12) на инстанс Amazon EC2 (172.31.16.139). Ping не получил ответа. Какое действие следует предпринять, чтобы ping был успешным?

Правильный ответ — «Разрешить исходящий ICMP-трафик в сетевом ACL (NACL) VPC». NACL без сохранения состояния, поэтому для успешного двустороннего соединения необходимо разрешить как входящий, так и исходящий трафик. Хотя группа безопасности инстанса EC2 по умолчанию разрешает весь исходящий трафик, NACL по умолчанию разрешает весь входящий и исходящий трафик. Однако, если NACL был изменен, он мог блокировать исходящие ответы ICMP. В этом сценарии ping не получил ответа, что указывает на то, что ответный пакет ICMP от инстанса EC2 не смог достичь локального хоста. Разрешение исходящего ICMP-трафика в NACL VPC позволит ответу ping вернуться. Разрешение входящего ICMP-трафика в группе безопасности EC2 или NACL VPC не решит проблему, если исходящий трафик уже заблокирован.