如何在通過 nat 網關連接到 Internet 的私有子網中配置 NACL？

Question

當我的子網路由到 NATgateway 以訪問 Internet 時，我們是否需要為從入站和出站到 Internet 的私有子網打開 NACL。 如果是，它的安全性如何。 私有子網的唯一限制是在路由表上，因為 NACL +security grp 將打開。

Answer 1

通常，您永遠不需要更改 VPC 中的網絡 ACL 的配置。

傳統網絡使用路由器中的規則來控制子網之間的流量。 但是，AWS 和其他雲服務具有允許對單個資源進行控制的安全組，從而提供更細粒度的安全性。

唯一需要修改網絡 ACL 的情況是故意鎖定安全性，例如創建DMZ 。

配置網絡 ACL 也相當復雜，因為它們是無狀態的，因此需要雙向授予權限。 相比之下，安全組是有狀態的，因此（例如）可以僅使用入站規則而不使用出站規則進行通信。

底線：最好使用默認的“全部允許”配置來了解您的網絡 ACL。