EC2のPingの挙動に関して

Question

前提・実現したいこと

AWS EC2を使用していて、疑問に思ったことを解決したいです。
具体的には、EC2同士のPingに関しての挙動についてです。
前提条件を以下に記載いたします。

EC2 A
セキュリティグループ
・インバウンド：sshのみ許可
・アウトバウンド：すべて許可

EC2 B
セキュリティグループ
・インバウンド：sshとICMPのみ許可
・アウトバウンド：すべて許可

EC2 AからEC2 Bに対してPingを送ります。
EC2 Aは適切にEC2 BからのPing応答を受け取ることが出来ます。

発生している疑問点

EC2 Bはインバウンドの設定でICMPを許可しているので、Pingを受け取ることが出来る、ということは理解できます。
ですが、EC2 AはICMPを許可していません。
にもかかわらず、適切にEC2 BからのPing応答を受け取ることが出来ます。

この挙動に関して、どのように理解すればいいのかを悩んでいます。
何か解決の糸口、アドバイスなどありましたら、お教えいただければ幸いです。
よろしくお願いします。

Answer 1

セキュリティグループのインバウンド制限はレスポンスについては対象になりません。
(ネットワークACLはレスポンスであっても制限の対象になる)

参照

セキュリティグループはステートフルです。インスタンスからリクエストを送信する場合、そのリクエストのレスポンストラフィックは、インバウンドセキュリティグループルールにかかわらず、流れることができます。許可されたインバウンドトラフィックに対する応答（戻りのトラフィック）は、アウトバウンドルールにかかわらずアウト側に対し通過することができます。

Comments

[papi_tokei]

回答頂きありがとうございます。
ステートフル、ステートレスとは、こういう事だったんですね。
参考リンクも貼って頂き、ありがとうございます。