Bir SysOps yöneticisi, mevcut bir genel alt ağa yerleştirilmiş bir EC2 örneğinde herkese açık bir web sitesi başlatır ve bir Elastic IP ilişkilendirir. Yönetici daha sonra 0.0.0.0/0'dan gelen HTTP'ye (80. bağlantı noktası) izin veren bir güvenlik grubu ekler. Yeni bir ağ ACL'si oluşturuldu ve alt ağa 0.0.0.0/0'dan gelen HTTP'ye izin verecek şekilde uygulandı. Bu değişikliklere rağmen, siteye internetten hala erişilemiyor. Bunun en olası nedeni nedir?

Doğru cevap, yeni ağ ACL'sinde geçici bağlantı noktası dönüş trafiğine izin veren bir giden kuralının eksik olmasıdır. Ağ ACL'leri durum bilgisi olmayan güvenlik duvarlarıdır, yani gelen ve giden trafiği ayrı ayrı değerlendirirler. Gelen HTTP (80. bağlantı noktası) trafiğine izin verilse bile, web sunucusunun istemciye yanıt gönderebilmesi için giden geçici bağlantı noktası aralığına (1024-65535) izin veren bir kurala ihtiyaç vardır. Güvenlik grupları durum bilgisi olan güvenlik duvarlarıdır, bu nedenle giden kurala ihtiyaç duyulmaz. Elastic IP'nin başka bir kaynağa atanması durumunda, web sitesine hiç erişilemezdi. Başka bir ağ ACL'sinin gelen 80. bağlantı noktasını engellemesi durumunda, bu kuralın açıkça reddetme kuralından önce gelmesi gerekirdi.