Відмінна картинка з документації - на яких рівнях вони працюють.
https://docs.aws.amazon.com/en_us/vpc/latest/userguide/VPC_Security.html
Network ACL (NACL) умовно можуть робити все те ж, що і Security Group, плюс дозволяють фільтрувати з урахуванням підмереж (subnets) - коли, наприклад, потрібно на мережевому рівні ізолювати якусь приватну підмережу.
Зазвичай фільтрацію реалізують лише з використанням Security group, однак якщо дістався чужої проект і там до чогось ніяк не виходить достукатися - є сенс глянути в VPC → Security → Network ACLs.
Варто також відзначити, що ні Security group, ні NACL не фільтрують трафік з
169.254.0.0/16 і що завжди можна отримати мета-дані інстанси звідти, в тому числі з запущених на інстанси докерів.#security #VPC
