如何在通过 nat 网关连接到 Internet 的私有子网中配置 NACL？

Question

当我的子网路由到 NATgateway 以访问 Internet 时，我们是否需要为从入站和出站到 Internet 的私有子网打开 NACL。 如果是，它的安全性如何。 私有子网的唯一限制是在路由表上，因为 NACL +security grp 将打开。

Answer 1

通常，您永远不需要更改 VPC 中的网络 ACL 的配置。

传统网络使用路由器中的规则来控制子网之间的流量。 但是，AWS 和其他云服务具有允许对单个资源进行控制的安全组，从而提供更细粒度的安全性。

唯一需要修改网络 ACL 的情况是故意锁定安全性，例如创建DMZ 。

配置网络 ACL 也相当复杂，因为它们是无状态的，因此需要双向授予权限。 相比之下，安全组是有状态的，因此（例如）可以仅使用入站规则而不使用出站规则进行通信。

底线：最好使用默认的“全部允许”配置来了解您的网络 ACL。