Компания запускает домен Amazon SageMaker AI в публичной подсети недавно созданного VPC. Сеть настроена, и инженеры могут получить доступ к домену. Компания обнаружила подозрительный трафик, исходящий с определенного IP-адреса, и ей необходимо заблокировать этот IP-адрес. Какое изменение сетевой конфигурации позволит это сделать?

Правильный ответ — создание входящего правила сетевого ACL, которое запрещает трафик с определенного IP-адреса, и применение его к сетевому ACL подсети. Сетевые списки контроля доступа (ACL) работают на уровне подсети и позволяют или запрещают трафик на основе IP-адресов, портов и протоколов. Они stateless, то есть требуют отдельных правил для входящего и исходящего трафика. Группы безопасности работают на уровне экземпляра (или интерфейса) и являются stateful, то есть разрешенный входящий трафик автоматически разрешает исходящий ответ. В данном случае, поскольку необходимо заблокировать трафик на уровне подсети для всего домена SageMaker, сетевой ACL является подходящим инструментом. Создание теневого варианта для домена и SageMaker Inference Recommender не относятся к блокировке сетевого трафика. Таблицы маршрутизации определяют, куда направлять трафик, а не блокируют его на основе IP-адреса источника.