AWS安全组规则疑问：EC2实例TCP请求响应的访问权限解析

嘿，这个问题其实涉及到AWS安全组一个很核心的特性——有状态（stateful），我来给你讲明白：

• 当ec2_A:5547主动发起TCP连接请求到ec2_B:3456时，因为sg_B的入站规则已经允许来自sg_A的TCP流量访问3456端口，所以这个请求能顺利抵达ec2_B。
• 关键来了：AWS安全组是有状态的，它会自动跟踪所有从实例主动发起的连接，并允许对应的反向响应流量返回。也就是说，ec2_B向ec2_A:5547发送的响应流量，会被sg_A自动放行——哪怕sg_A的入站规则里根本没有明确开放5547端口给sg_B或者任何源。

简单说，安全组会“记住”谁先发起了连接，只要是这个连接的反向回复，不管目标端口是什么（只要是发起端的源端口），都不用额外配置入站规则就能通过。这和无状态防火墙需要双向配置规则完全不同，也是AWS安全组设计上的一个便捷点。

内容的提问来源于stack exchange，提问作者Nishant Kumar