Network ACL

Qué es: una network ACL (access control list) es un firewall sin estado que actúa a nivel de subred y filtra lo que entra y sale de ella.

• Permitir y negar: reglas numeradas que se evalúan de menor a mayor; la primera que coincide decide. Una regla final, marcada *, niega lo demás.
• Sin estado: la respuesta necesita su propia regla en el otro sentido.
• Asociación: cada subred tiene exactamente una; una network ACL puede servir a varias subredes.
• Por defecto: la de la VPC permite todo; una personalizada nueva niega todo hasta que añades reglas. Sin cargo adicional.

Analogía: la caseta de un condominio, que revisa cada auto que entra y sale contra una lista numerada, sin recordar a quién dejó pasar. Dónde falla la analogía: el guardia lee la lista entera; la network ACL se detiene en la primera regla que coincide, aunque otra posterior diga lo contrario.

Ejemplo real: Clínica Vértice recibe ataques desde 203.0.113.0/24. En la network ACL de su subred pública añade la regla 50, que niega ese rango, antes de la 100, que permite HTTPS. Un security group no podría negarlo.

Úsalo cuando: quieras una segunda capa de defensa, negar rangos concretos o un límite común para una subred. No lo uses cuando: sea la única protección de un servidor: es más tosca y, sin estado, más fácil de configurar mal.