NACL Network ACL
Pare-feu sans état au niveau du sous-réseau chez AWS — règles d'autorisation ET de refus, priorités numérotées. Complément aux Security Groups, qui eux sont à état.
« Sans état » signifie que le trafic retour doit être explicitement autorisé (une requête sortante sur le port 443 ⇒ il faut autoriser en entrée la plage de ports éphémères 1024-65535). C'est pourquoi les NACL comportent presque toujours une règle « autoriser tous les ports éphémères ». Évaluation numérotée (1 à 32766), la première règle qui correspond l'emporte. Le NACL par défaut autorise tout ; un NACL personnalisé refuse tout par défaut. Cas d'usage : blocages au niveau organisation (bloquer un pays entier par IP, bloquer une IP de C2 connue), ou solution radicale pour isoler un sous-réseau si un Security Group est mal configuré.