Брандмауэр: требуется ли правило для получения входящего SYN-ACK с сервера, когда правило для исходящего трафика уже существует?

Question

У меня есть VP C, в котором у меня есть экземпляр EC2, развернутый в частном порядке su bnet.

У меня есть NACL (Su bnet firewall), разрешенный ALL на ВСЕХ на входящем и исходящем.

У меня есть правило группы безопасности (брандмауэр Ec2), оно блокирует Publi c ip для правила входящих событий и позволяет опубликовать c мир для правила исходящих сообщений.

Теперь мой экземпляр EC2 Инициирует соединение с провайдером вызовов (twilio) и инициирует вызов, и он успешен.

Из моего приложения ec2 он инициирует трехстороннее рукопожатие, поскольку мое правило для исходящих запросов разрешено всем, что оно достигает twilio через NAT. Пакет будет выглядеть следующим образом (IP-адрес источника: IP-адрес NAT и номер порта Random, а IP-адрес назначения: IP-адрес twilio и номер порта прослушивания службы)

Затем Twilio принимает запросы и предоставляет ответ SYN-ACK на сервер ec2. Теперь пакет будет (исходный ip: twilio ip и номер произвольного порта и IP-адрес назначения: это ip NAT экземпляра Ec2, а номер порта (случайный номер порта, инициированный источником Ec2).)

Теперь мой вопрос: Eventhough Правило входящего трафика не допускает использования IP-адреса twilio. Как успешно прошло трехстороннее рукопожатие?

Answer 1

Получено после gooogling,

Защита брандмауэра использует контроль состояния для отслеживания текущих соединений. Проверка с отслеживанием состояния отслеживает IP-адреса источника и назначения, порты, приложения и другую информацию о соединении Прежде чем клиент проверяет правила брандмауэра, он принимает решения о трафике c, основанные на информации о соединении.

Например, если правило брандмауэра позволяет компьютеру подключаться к веб-серверу, брандмауэру регистрирует информацию о соединении Когда сервер отвечает, брандмауэр обнаруживает, что ожидается ответ от веб-сервера на компьютер. Это позволяет трафику веб-сервера c перенаправлять его на компьютер-инициатор без проверки базы правил. Правило должно разрешить исходящий исходящий трафик c до того, как брандмауэр зарегистрирует соединение.