NACL
AWSのサブネット単位で働くステートレスなファイアウォール。許可と拒否の両方のルールを番号順の優先度で持ち、ステートフルなセキュリティグループを補完する。
「ステートレス」とは、戻りの通信も明示的に許可しなければならないという意味である。ポート443で外へ出るリクエストには、エフェメラルポート範囲1024〜65535の受信許可が要る。NACLに「エフェメラルポートはすべて許可」のルールが入りがちなのはこのためだ。評価は番号順(1〜32766)で、最初に一致したルールが適用される。デフォルトのNACLはすべて許可、カスタムNACLは既定で拒否となる。用途は、組織レベルの遮断(国単位のIPブロック、既知のC2のIPの遮断)や、SGの設定ミスに備えたサブネット隔離の「大槌」である。