[AWS 网络防火墙]为什么我不能通过不同的请求和响应路由进行通信？

Question

我有一个关于网络的问题。

我正在使用私有子网和 NAT 网关在 AWS 中测试 AWS 网络防火墙。

因此，我与 Internet 的连接流程是：

请求： EC2 in private subnet -> NAT gateway -> FW -> IGW

响应： Server from Internet -> FW -> NAT -> EC2 in private subnet

请求和响应流完全相反。 但是，我只想过滤 Egress 流量，所以我通过更改适用于 IGW 的 Ingress Route 表更改了 Response Route。 因为 AWS Network Firewall 是透明的，所以我觉得应该没问题。

新的响应路由： Server from Internet -> NAT -> EC2 in private subnet

我所期望的只是检查出口流量，但它没有用。 我的意思是，他们无法连接到互联网。

所以我想知道的是：

1. 与不同的路由通信有什么问题吗？ 反正不可能吗？
2. 如果可能，我该怎么办？

感谢您阅读这个问题。

Answer 1

我得到了这个问题的答案。 它是非对称流（请求和响应流不同），但是不允许通过 VPC 中的中间盒设备路由流量。所以上面的流量不可用！！！ （ https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Route_Tables.html ）

当然，我的回答可能是错误的。 请随时更正此答案。 :)