Два экземпляра Amazon EC2, расположенные в разных подсетях, не могут взаимодействовать друг с другом, хотя другие хосты в тех же подсетях могут обмениваться данными, а группы безопасности имеют соответствующие правила ALLOW. Какой шаг по устранению неполадок следует выполнить?

Правильный ответ — проверить правила входящих и исходящих списков контроля доступа к сети (ACL) на наличие записей DENY. Сетевые ACL без сохранения состояния и обрабатывают правила в порядке их нумерации, при этом явные правила DENY могут блокировать трафик, даже если группы безопасности разрешают его. Группы безопасности, напротив, являются межсетевыми экранами с сохранением состояния, которые разрешают весь исходящий трафик по умолчанию и отклоняют весь входящий трафик по умолчанию, пока не будут добавлены правила разрешения. Если другие хосты в тех же подсетях могут обмениваться данными, это указывает на проблему, специфичную для этих двух экземпляров или подсетей, что делает сетевые ACL вероятной причиной. Проверка журналов потоков VPC может быть полезна, но сначала следует исключить ACL. AWS X-Ray предназначен для трассировки запросов приложений, а не для устранения неполадок сетевого подключения на уровне инфраструктуры.