NACL Network ACL
Zustandslose Firewall auf Subnetz-Ebene in AWS — Allow- UND Deny-Regeln, nummerierte Prioritäten. Ergänzung zu den zustandsbehafteten Security Groups.
"Zustandslos" heißt: Rückverkehr muss explizit erlaubt werden (ein Request raus auf Port 443 ⇒ der Ephemeral-Port-Bereich 1024–65535 muss eingehend erlaubt sein). Deshalb haben NACLs meist "allow all ephemeral ports"-Regeln. Nummerierte Auswertung (1–32766), die erste Übereinstimmung gewinnt. Die Standard-NACL erlaubt alles; eine eigene NACL verweigert standardmäßig. Einsatzfälle: Blockaden auf Organisationsebene (ein Land per IP sperren, eine bekannte C2-IP blockieren) oder als grobe Brechstange zur Subnetz-Isolation, falls jemand eine Security Group falsch konfiguriert.