AWS 网络 ACL：为什么我需要允许出站端口 80 才能浏览 Internet？

Question

我对 AWS 和网络非常陌生。我一直在玩网络ACL。我意识到，如果我不允许网络 ACL 上的出站端口 443 (HTTPS)，我将无法使用浏览器在与此 ACL 关联的子网。

同样，如果我不允许出站端口 80，我将无法访问http://www.cnn.com。

这让我很困惑。当我允许 ACL 上的端口 80 出站时，我是允许 EC2 从我的 EC2 上的临时端口与 CNN 服务器上的 端口 80 交谈，还是允许 EC2 发起连接来自 EC2 上的端口 80？

Answer 1

您不必添加任何规则。默认网络 ACL 配置为允许所有流量流入和流出与其关联的子网。每个网络 ACL 还包括一个规则编号为星号的规则。此规则确保如果一个数据包不匹配任何其他编号规则，它就会被拒绝。您不能修改或删除此规则。

规则允许所有 IPv6 流量流入和流出您的子网。我们还添加了规则编号为星号（Catch All）的规则，以确保如果数据包与任何其他已定义的编号规则不匹配，则该数据包将被拒绝。

网络 ACL 具有单独的入站和出站规则（无状态），每个规则都可以允许或拒绝流量。

出站规则允许从 子网 到 Internet 的出站流量。换句话说，它是将流量流与 ACL 列表中的定义的规则匹配并应用它（允许/拒绝）。

如果您的私有实例不应被 Internet 上的公共用户访问，从安全角度来看，最佳做法是将这些实例放置在 私有子网 中并在 私有子网 中使用 NAT 实例strong>公有子网，让所有流量都经过这个 NAT 实例进行补丁更新并获得公有访问权限。

欲了解更多信息，请查看Amazon Docs

Answer 2

使用实例级别的安全组来获得实例级别的安全性。与安全组不同，ACL 是无状态的并且在子网级别工作，即如果您希望您的实例通过端口 80(http) 进行通信，那么您必须添加一个入站和允许端口 80 的出站规则。