클라이언트 (10.0.1.50)           EC2 인스턴스 (10.0.2.100)
                                  Security Group:
                                  인바운드: TCP 8080 허용
                                  아웃바운드: 전체 허용 (기본값)

SYN ──────────────────────────►  SG 인바운드 검사: TCP 8080 ✓ ALLOW
                                  연결 추적 테이블에 기록
SYN-ACK ◄──────────────────────  SG 아웃바운드 검사: SKIP (응답 트래픽)
ACK ──────────────────────────►  연결 수립 완료

HTTP GET /api ────────────────►  연결 추적 테이블 매칭 → ALLOW
HTTP 200 OK ◄──────────────────  연결 추적 테이블 매칭 → ALLOW (아웃바운드 규칙 무시)

아웃바운드 규칙을 모두 제거한 경우:

1. 외부에서 이 EC2로 들어오는 인바운드 연결 → 응답 트래픽은 자동 허용 (Stateful)
2. 이 EC2에서 외부로 나가는 아웃바운드 연결 → 차단됨 (규칙 없음)

즉, 아웃바운드 규칙 제거는 "이 서버가 먼저 연결을 시작하는 것"만 막습니다.
외부에서 들어온 연결에 대한 응답은 여전히 나갑니다.

외부 클라이언트
      │
      ▼
┌─────────────────────┐
│ 1. Security Group   │  ← EC2에 부착된 Stateful 방화벽
│    인바운드 규칙     │    규칙에 없으면 기본 차단 (REJECT)
└──────────┬──────────┘
           │ 통과
           ▼
┌─────────────────────┐
│ 2. Network ACL      │  ← 서브넷 경계의 Stateless 방화벽
│    (NACL)           │    모든 방향 각각 명시적 허용 필요
└──────────┬──────────┘
           │ 통과
           ▼
┌─────────────────────┐
│ 3. Route Table      │  ← 트래픽 경로 존재 여부
│                     │    경로 없으면 패킷 드롭 (조용히 사라짐)
└──────────┬──────────┘
           │ 통과
           ▼
┌─────────────────────┐
│ 4. IGW / NAT GW     │  ← 인터넷 연결 게이트웨이
│                     │    Public Subnet = IGW, Private = NAT
└──────────┬──────────┘
           │ 통과
           ▼
┌─────────────────────┐
│ 5. OS 방화벽        │  ← 인스턴스 내 iptables / firewalld / ufw
│    (iptables 등)    │    클라우드 바깥의 마지막 관문
└──────────┬──────────┘
           │ 통과
           ▼
     EC2 애플리케이션

# 확인할 것:
# - 해당 포트가 인바운드 규칙에 있는가?
# - 소스 IP가 허용 범위에 포함되는가?
# - Security Group이 올바른 인스턴스에 붙어있는가?

aws ec2 describe-security-groups --group-ids sg-xxxxx \
  --query 'SecurityGroups[*].IpPermissions'

# NACL은 서브넷 단위로 적용됩니다
# 인스턴스가 속한 서브넷의 NACL을 확인합니다
aws ec2 describe-network-acls \
  --filters "Name=association.subnet-id,Values=subnet-xxxxx" \
  --query 'NetworkAcls[*].Entries' \
  --output table

# 인바운드와 아웃바운드 각각 허용 규칙이 있는지 확인
# Egress: false = 인바운드, true = 아웃바운드
# RuleAction: allow | deny

# 인스턴스가 있는 서브넷의 라우팅 테이블 확인
aws ec2 describe-route-tables \
  --filters "Name=association.subnet-id,Values=subnet-xxxxx" \
  --query 'RouteTables[*].Routes[*].{Dest:DestinationCidrBlock,Target:GatewayId}' \
  --output table

# 0.0.0.0/0 → igw-xxxx : Public 서브넷 (인터넷 직접 연결)
# 0.0.0.0/0 → nat-xxxx : Private 서브넷 (아웃바운드만)
# 경로 없음             : 인터넷 도달 불가

# IGW 연결 상태 확인
aws ec2 describe-internet-gateways \
  --filters "Name=attachment.vpc-id,Values=vpc-xxxxx" \
  --query 'InternetGateways[*].{IGW:InternetGatewayId,State:Attachments[0].State}'

# NAT Gateway 상태 확인 (Private 서브넷의 아웃바운드용)
aws ec2 describe-nat-gateways \
  --filter "Name=vpc-id,Values=vpc-xxxxx" \
  --query 'NatGateways[*].{NAT:NatGatewayId,State:State,SubnetId:SubnetId}'

# EC2 내부에서 확인 (SSH 접속 후)
# Amazon Linux 2 / RHEL 계열
sudo firewall-cmd --list-all

# Ubuntu 계열
sudo ufw status verbose

# iptables 직접 확인 (모든 배포판)
sudo iptables -L INPUT -n -v --line-numbers

# 포트가 실제로 리스닝 중인지 확인
sudo ss -tlnp | grep :8080

Connection timed out (연결 타임아웃, 무반응):
  → Security Group 또는 NACL이 DROP/REJECT 중
  → Route Table에 경로가 없거나 IGW가 없음
  → OS 방화벽이 DROP으로 설정됨

Connection refused (연결 거부):
  → EC2는 도달했지만 해당 포트에서 아무것도 리스닝하지 않음
  → 또는 OS 방화벽이 REJECT로 응답
  → 애플리케이션이 실행되지 않았거나 다른 포트를 사용 중

No route to host:
  → Route Table에 목적지 경로가 없음
  → 또는 NACL이 DENY 응답을 보냄

클라이언트 (Subnet A)               서버 (Subnet B)
  src: 10.0.1.50:52341               dst: 10.0.2.100:8080
  ─────────────────────────────────►
       요청: TCP 8080 연결

  src: 10.0.2.100:8080               dst: 10.0.1.50:52341
  ◄─────────────────────────────────
       응답: 포트 52341로 돌아옴

NACL 설정에서 이 응답 트래픽을 허용하려면:
  Subnet A의 NACL 인바운드 규칙:
    허용: TCP 1024-65535 (ephemeral 포트 범위)
    
  이 규칙이 없으면 응답이 Subnet A에 들어오는 순간 차단됩니다.

기본 NACL은 전체 허용으로 두고 (기본값),
세밀한 접근 제어는 Security Group으로만 관리합니다.
NACL 수정은 ephemeral 포트 함정 때문에 위험하므로
명확한 필요가 있을 때만 건드립니다.