AWS vpc выходит в интернет из общедоступной подсети

Question

Я настроил общедоступную подсеть на своем VPC и добавил несколько групп безопасности и ролей NACL... Я замечаю, что когда я устанавливаю на NACL эти роли во входящем разделе:

100 SSH (22) TCP (6) 22 0.0.0.0/0 ALLOW
200 HTTP (80) TCP (6) 80 0.0.0.0/0 ALLOW
300 HTTPS (443) TCP (6) 4430.0.0.0/0 ALLOW

У меня не было доступа к интернету!!!:(

если я не добавил эту роль во входящий раздел: 400 ALLTraffic ALL ALL 0.0.0.0/0 ALLOW

(после добавления этой роли мне удалось получить доступ к Интернету, запустив, например, "обновление yum"...)

Это действительно необходимо или я что-то настроил неправильно?

Answer 1

• Группы безопасности имеют состояние и автоматически разрешают возврат трафика.
• Сетевые ACL-списки не имеют состояния и требуют от вас предоставления входящих правил.

Вот почему вы можете получить доступ к Интернету после добавления 400 ALLOW Сетевое правило ACL.

В зависимости от ваших требований, вам могут вообще не понадобиться списки ACL для сети, а полагаться только на группы безопасности.

-

Группы безопасности AWS VPC и ACL сети имеют различное, но взаимодополняющее поведение.

Эта документация подробно описывает разницу.

http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Security.html