- EC2 Security Group과 같이 방화벽 설정이 가능함- 서브넷 단위로 설정 가능하며, 인스턴스 단위로는 설정 불가능- 다수의 서브넷에 동시 적용 가능- 특정 Port 또는 특정 IP를 Deny 가능(EC2 Security Group은 불가능하지만 NACL은 가능함)- Stateless해서 Inbound, Outbound 관련 설정을 모두 신경써서해줘야함(EC2 Security Group은 Inbound만 설정하고 Outbound를 설정하지 않아도 응답을 반환할 수 있지만, NACL은 그렇지 않음)