EC2のインタフェースにフローログに、NACLで拒否した筈のIPに関するログが表示される。

バージニア北部リージョンで次のようにアーキテクチャを構成しました。

• VPCを一つだけ作成。デフォルトVPCは削除
• VPC内にサブネットを１つだけ作成。パブリックサブネット。
• サブネットにEC2を1台だけ起動。
• フローログをEC2にアタッチされているインターフェースにのみ設定。VPCとサブネットには設定しない （このリージョンにはフローログが見つかりませんと表示される状態）
• EC2を起動したサブネットにアタッチしているNACLのインバウンド・アウトバウンドルールで、ルール番号1に全てIP・ポートを拒否するルールを設定。

この設定の元でCWに送信されるログを確認したところ、様々なGIP・ポートが送信元であるトラフィックの、EC2に対するアクセス拒否のログが継続的に観測されました。

私の想定では、ログは一切生成されないというものでした。理由は、NACLが一切のトラフィックを拒否しており、フローログはEC2のインターフェースでしか収集しない設定にしたつもりだからです。

ログが生成され続けるということは、EC2にまでトラフィックが到達しているということなのでしょうか。