NACL
Firewall sem estado no nível da sub-rede na AWS — regras de permissão E de negação, com prioridades numeradas. Complementa os Security Groups, que têm estado.
"Sem estado" significa que o tráfego de retorno precisa ser permitido explicitamente (uma requisição de saída na porta 443 ⇒ é preciso liberar a faixa de portas efêmeras 1024–65535 na entrada). Por isso as NACLs costumam ter regras do tipo "permitir todas as portas efêmeras". A avaliação é numerada (1–32766) e vale a primeira regra que casar. A NACL padrão permite tudo; uma NACL personalizada nega por padrão. Casos de uso: bloqueios em nível de organização (bloquear um país por IP, bloquear um IP de C2 conhecido) ou o "martelão" para isolar uma sub-rede quando alguém configura mal um Security Group.