Как настроить NACL в частной подсети, подключенной к Интернету через шлюз nat?

Нужно ли нам открывать NACL для частной подсети как для входящего, так и для исходящего трафика в Интернет, когда моя подсеть направляется на NATgateway для доступа в Интернет. Если да, то насколько он защищен. Единственные ограничения для частной подсети будут в таблице маршрутизации, так как NACL +security grp будет открыт.