這些題目為學習目的而獨立製作，並非 AWS 官方考題、實際考題、外流題或考題庫。
SAA-037
來自特定 IP 位址範圍對某子網路的未授權存取嘗試持續發生。希望僅將來自該範圍的通訊,對子網路內的所有執行個體一併拒絕。下列哪項設定最為合適?
選項
解析與正確答案
閱讀解析與正確答案（劇透：建議先自行作答）
正確答案：C. 在關聯至該子網路的網路 ACL 中,以小於既有允許規則的規則編號新增拒絕該範圍的傳入規則
解析
由於安全群組不存在拒絕規則,若要封鎖特定來源則須使用網路 ACL。網路 ACL 依規則編號由小至大評估,並套用最先符合的規則,因此拒絕規則必須設定為小於既有允許規則的編號。
各選項解析
A. 在各執行個體的安全群組中,新增拒絕該範圍的傳入規則
安全群組僅由允許規則構成,無法撰寫拒絕規則,屬於「未明確允許者即無法通過」的白名單型機制。
B. 以安全群組的傳出規則拒絕送往該範圍的通訊
即使限制傳出,也無法阻止從外部到達的傳入嘗試本身。此外,安全群組本身也不存在拒絕規則。
C. 在關聯至該子網路的網路 ACL 中,以小於既有允許規則的規則編號新增拒絕該範圍的傳入規則
正解。網路 ACL 以子網路為單位套用,因此可對子網路內的所有執行個體一併生效。規則編號的順序即為判斷的關鍵。
D. 在子網路的路由表中,新增送往該範圍的黑洞路由
路由表是決定各目的地網路的轉送目標,無法依來源位址進行篩選,也不是在到達前阻斷子網路內通訊的機制。
實際使用情境
安全群組與網路 ACL 為 VPC 中兩層的流量控制,套用範圍與評估方式根本上不同。安全群組是以 ENI(執行個體)為單位套用的具狀態防火牆,僅具有允許規則,會評估所有規則,只要其中一條符合即予放行。由於具狀態,傳入所允許之通訊的回程封包無論傳出規則為何皆可通過。另一方面,網路 ACL 是以子網路為單位套用的無狀態篩選器,同時具有允許規則與拒絕規則,依規則編號的遞增順序評估,並以最先符合的規則確定判定結果。 由此差異決定了實務上的使用區分。「希望僅封鎖特定來源」的需求無法以安全群組表達,因此使用網路 ACL 的 Deny 規則。此時,由於預設的網路 ACL 已於編號 100 放入全部允許的規則,拒絕規則若不設定為小於 100 的編號(例如 90),便會在評估順序上落敗而通行無阻。此外,正因為無狀態,若希望允許通訊,則傳入與傳出兩側皆需要規則,若忘記允許回程流量所用的臨時連接埠(1024-65535),通訊便會單向中斷。另外,若希望依來源 IP 或請求內容細緻控制針對 Web 應用程式的攻擊,則相較於網路 ACL,AWS WAF 的 IP 集合或速率型規則更為合適。 SAA-C03 中,若出現「希望拒絕特定 IP 範圍」「希望對整個子網路一併套用」等文句則為網路 ACL;若為「希望允許往特定資源的通訊」「僅允許來自 ALB 的存取」等文句則為安全群組。具狀態 / 無狀態的差異、依規則編號的評估順序、臨時連接埠的處理,皆為此領域反覆出題的論點。