[AWS 網絡防火牆]為什么我不能通過不同的請求和響應路由進行通信？

Question

我有一個關於網絡的問題。

我正在使用私有子網和 NAT 網關在 AWS 中測試 AWS 網絡防火牆。

因此，我與 Internet 的連接流程是：

請求： EC2 in private subnet -> NAT gateway -> FW -> IGW

響應： Server from Internet -> FW -> NAT -> EC2 in private subnet

請求和響應流完全相反。 但是，我只想過濾 Egress 流量，所以我通過更改適用於 IGW 的 Ingress Route 表更改了 Response Route。 因為 AWS Network Firewall 是透明的，所以我覺得應該沒問題。

新的響應路由： Server from Internet -> NAT -> EC2 in private subnet

我所期望的只是檢查出口流量，但它沒有用。 我的意思是，他們無法連接到互聯網。

所以我想知道的是：

1. 與不同的路由通信有什么問題嗎？ 反正不可能嗎？
2. 如果可能，我該怎么辦？

感謝您閱讀這個問題。

Answer 1

我得到了這個問題的答案。 它是非對稱流（請求和響應流不同），但是不允許通過 VPC 中的中間盒設備路由流量。所以上面的流量不可用！！！ （ https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Route_Tables.html ）

當然，我的回答可能是錯誤的。 請隨時更正此答案。 :)