NACL
Cortafuegos sin estado a nivel de subred en AWS — reglas de permiso Y denegación, con prioridades numeradas. Complemento de los Security Groups, que sí mantienen estado.
«Sin estado» significa que el tráfico de retorno debe permitirse explícitamente (una petición saliente por el puerto 443 ⇒ hay que permitir el rango de puertos efímeros 1024-65535 entrante). Por eso las NACL casi siempre llevan reglas de «permitir todos los puertos efímeros». Evaluación numerada (1-32766), gana la primera coincidencia. La NACL por defecto permite todo; una NACL personalizada deniega por defecto. Usos: bloqueos a nivel de organización (bloquear un país por IP, bloquear una IP de C2 conocida), o como «gran hacha» para aislar una subred si alguien configura mal un Security Group.