为什么可以选择在安全组中为 ICMP 回显回复创建规则？

Question

如果我们想从EC2实例发送ping，必须有允许回显请求的出站规则（在附加到该实例的安全组中）。由于安全组是有状态的，因此无论入站规则如何，都将允许该请求的流量。不需要允许回显响应的特定入站规则。接收此ping的EC2必须附加有允许回显请求的入站规则的安全组。类似地，不需要允许回显响应的特定出站规则。

那么，为什么有一个选项来创建回送回复规则呢？

看起来它没有任何用处。我唯一想到的是允许在不接收回声请求的情况下发送回声回复，但这似乎不切实际，甚至不正确地使用ICMP。

Answer 1

为了添加到上面的正确响应中，是的，对于有状态的安全组，没有必要添加echo reply。我相信这与无状态的NACL配置有关，它要求显式添加入站和出站规则。所以这意味着NACL需要下面的，因此在这里是有意义的:

1. 回显请求的 NACL 入站允许规则
2. NACL 出站允许回显应答规则

AWS控制台UI中的协议下拉菜单似乎使用了与NACL相同的协议集(可能是控制台设计中的相同UI组件),但当然对有状态安全组的回应回复没有任何意义。

Answer 2

没有明显的理由为什么允许这个选项，除了可能是为了完整性，或者是因为不寻常的情况(不可否认，没有想到)，在这种情况下，不请自来的echo答复可能是预期的或可取的。

如前所述，安全组规则的有状态性质应使实际使用此功能变得不必要。