Pourquoi ne puis-je pas me connecter à un service lorsque le groupe de sécurité et la liste de contrôle d'accès (ACL) réseau autorisent le trafic entrant ?

Brève description

Les groupes de sécurité sont avec état, de sorte que l'autorisation du trafic entrant vers les ports nécessaires active la connexion. Les listes de contrôle d'accès (ACL) réseau sont sans état, vous devez donc autoriser le trafic entrant et sortant.

Solution

Pour permettre la connexion à un service s'exécutant sur une instance, la liste de contrôle d'accès (ACL) réseau associé doit autoriser les opérations suivantes :

• Trafic entrant sur le port sur lequel le service écoute
• Trafic sortant vers les ports éphémères

Lorsqu'un client se connecte à un serveur, un port aléatoire de la plage de ports éphémères (1024-65535) devient le port source du client.

Le port éphémère désigné devient le port de destination pour le trafic de retour du service. Le trafic sortant vers le port éphémère doit être autorisé dans la liste de contrôle d'accès (ACL) réseau. Pour plus d'informations sur la modification des règles de la liste de contrôle d'accès (ACL) réseau, consultez Ajouter et supprimer des règles.

Par défaut, les listes ACL réseau autorisent tout le trafic entrant et sortant. Si votre liste de contrôle d'accès (ACL) réseau est plus restrictive, vous devez autoriser explicitement le trafic vers la plage de ports éphémère.

Remarque : si vous acceptez le trafic depuis Internet, vous devez également établir un itinéraire via une passerelle Internet. Si vous acceptez le trafic via VPN/AWS Direct Connect/Transit Gateway, vous devez établir un itinéraire correspondant via une passerelle/passerelle de transit privée virtuelle.

Informations connexes

Contrôle du trafic vers les sous-réseaux avec des ACL de réseau

Contrôle du trafic vers les ressources à l'aide de groupes de sécurité