NACL
Bezstanowa zapora na poziomie podsieci w AWS — reguły zezwalające ORAZ blokujące, numerowane priorytety. Uzupełnienie dla stanowych Security Groups.
„Bezstanowa” oznacza, że ruch zwrotny trzeba jawnie dopuścić (żądanie wychodzące na port 443 ⇒ trzeba zezwolić na przychodzący zakres portów efemerycznych 1024–65535). Dlatego NACL-e zwykle mają regułę „zezwól na wszystkie porty efemeryczne”. Ocena w kolejności numerów (1–32766), wygrywa pierwsze dopasowanie. Domyślny NACL przepuszcza wszystko; własny domyślnie blokuje. Zastosowania: blokady na poziomie organizacji (kraj po IP, znany adres C2) albo „młot” do izolacji podsieci, gdy ktoś źle skonfiguruje SG.