Короткий ответ Security group — stateful и применяется на уровне инстанса (разрешённый входящий ответ пропускается автоматически), а network ACL (NACL) — обычно stateless и применяется на уровне подсети, поэтому для него нужно явно разрешить трафик в обе стороны. Проблема часто в том, что NACL подсети блокирует либо входящий, либо ответный трафик. Как это работает подробнее пакет, идущий между подсетями, проверяется security group источника и назначения (stateful) и одновременно NACL обеих подсетей на входе и выходе (stateless, то есть ответный пакет должен быть разрешён отдельным правилом). Пример кода Что использовать на практике Рекомендация. при диагностике межсетевых проблем проверяют NACL после security group: типичная ошибка — разрешён входящий TCP на целевой порт, но не разрешён исходящий трафик с эфемерных портов обратно к источнику, из-за чего SYN доходит, а SYN-ACK блокируется. Проверка. TCP-соединение зависает на этапе handshake (SYN_SENT на клиенте без ответа); tcpdump на стороне сервера покажет
Загрузка…
