AWS4 択難易度 応用

セキュリティグループとネットワーク ACL の違いとして正しいのは？

正答

1. SG はサブネット単位でステートレス、NACL はインスタンス単位でステートフル
2. SG はインスタンス単位でステートフル、NACL はサブネット単位でステートレス
3. SG は拒否ルールを書けるが、NACL は許可ルールしか書けない
4. SG は VPC 内に 1 つだけ、NACL はサブネットごとに複数作れる

解説

セキュリティグループはインスタンス（ENI）に付け、許可ルールのみを持つステートフルなファイアウォール。許可した通信の戻りは自動的に通る。ネットワーク ACL はサブネットに付け、許可と拒否の両方を番号順に評価するステートレスなもので、戻りの通信もルールで明示的に許可する必要がある。拒否ルールを書けるのは NACL の方で、選択肢の説明は逆。SG は VPC 内に複数作れ、インスタンスに複数付けられる。両者を混同すると「SG で開けたのに通らない」原因を見つけにくくなる。

参考: docs.aws.amazon.com

security-groupnaclvpc