NACL Network ACL
Stateless firewall på subnet-nivå i AWS — allow OCH deny-regler, numererade prioriteter. Komplement till stateful Security Groups.
"Stateless" = återrutter måste explicit tillåtas (request out på port 443 ⇒ måste tillåta ephemeral-port-range 1024-65535 in). Det är därför NACL:er oftast har "allow all ephemeral ports" rules. Numrerad evaluation (1-32766), första matchade vinner. Default-NACL allow all; custom-NACL default deny. Användning: organisations-nivå-block (blockera ett land via IP, blockera känd C2-IP), eller "stora yxan" för subnet-isolering om någon felkonfigurerar en SG.