Security Group 和 Network ACL 是 AWS VPC 中的兩種主要網路安全機制，用來控制流量，但它們在範圍、狀態性和規則處理上有所不同。
主要差異
Security Group 是狀態性的（stateful），僅允許規則（allow rules），預設拒絕所有流量，並自動允許回應流量；適用於實例層級（如 EC2、RDS），一個實例可關聯多個 SG。
Network ACL 是無狀態的（stateless），支援允許和拒絕規則（allow/deny），規則依編號順序評估；適用於子網層級，所有子網資源皆受影響，一個子網僅關聯一個 NACL。應用場景
- Security Group：適合應用層防護，如限制 Web 伺服器僅允許 HTTP/HTTPS，或基於其他 SG 隔離服務。
- Network ACL：用於子網額外安全層，如拒絕特定 IP 範圍，或防止子網間威脅；預設 NACL 允許所有，但自訂需明確設定進出規則。
比較表格
Security Group 通常作為主要防護，Network ACL 提供額外保障，兩者可層層疊加使用。
