السلوك ذو الحالة مقابل عديم الحالة

أعمق فرق بين مجموعات الأمان وقوائم التحكم بالوصول إلى الشبكة هو تتبّع الحالة. فمجموعات الأمان ذات حالة، بينما قوائم التحكم بالوصول إلى الشبكة عديمة الحالة. وتغيّر هذه الخاصية الواحدة طريقة كتابة القواعد واستكشاف حركة المرور المسقطة وتحليل الحزم العائدة.

تعني ذات حالة أن جدار الحماية يتذكر كل اتصال يسمح به. فعندما تسمح مجموعة الأمان بطلب وارد، فإنها تسمح تلقائيًا بالاستجابة المطابقة إلى الخارج، مع تتبع الاتصال في جدول للحالة. ولا تحتاج أبدًا إلى كتابة قاعدة لحركة المرور العائدة.

تعني عديمة الحالة أن جدار الحماية يقيّم كل حزمة بشكل مستقل دون تذكّر الحزم السابقة. فإذا سمحت NACL بطلب وارد، فإنها لا تسمح تلقائيًا بالاستجابة. يجب إضافة قاعدة منفصلة لاتجاه العودة، وإلا فسيتم إسقاط الرد.

يتصل عميل بخادم الويب على المنفذ 443. ويرد الخادم من المنفذ 443 إلى العميل على منفذ مؤقت مرتفع. تكون هذه الاستجابة تلقائية مع مجموعة الأمان. أما مع NACL، فتحتاج إلى قاعدة سماح صادرة لنطاق المنافذ المؤقتة، وإلا فسيبدو الاتصال عالقًا ثم يفشل.

يُعد نسيان المنافذ المؤقتة في قواعد NACL الصادرة أكثر الأخطاء شيوعًا في جدران الحماية عديمة الحالة. يصل الطلب إلى الخادم، لكن تُرفض الاستجابة دون تنبيه. اسمح دائمًا بنطاق المنافذ المؤقتة ذي الصلة (وهو عادةً 1024–65535) للاستجابات الصادرة في NACL المخصصة.

عندما تُحظر حركة المرور بطريقة غامضة، تحقق من الطبقة التي تتوافق مع الأعراض. إذا أُنشئ الاتصال لكن فشلت الاستجابات، فاشتبه في NACL عديمة الحالة تفتقد المنافذ المؤقتة. وإذا تعذر إنشاء أي اتصال إطلاقًا، فاشتبه في غياب قاعدة سماح في مجموعة الأمان أو وجود رفض من NACL على منفذ الطلب.

بالنسبة إلى حركة المرور الواردة إلى مورد، تُقيَّم NACL أولًا عند حافة الشبكة الفرعية، ثم تُقيَّم مجموعة الأمان عند ENI. وبالنسبة إلى حركة المرور الصادرة، يُتحقق من مجموعة الأمان أولًا، ثم من NACL. يجب أن تسمح كلتا الطبقتين بحركة المرور حتى تمر، ولذلك يمكن لأي طبقة حظر التدفق دون تنبيه.

تجعل الحالة مجموعات الأمان أسهل في الإدارة، ولذلك فهي الأداة اليومية. تحدد نيتك مرة واحدة، وتعمل حركة المرور العائدة تلقائيًا. أما NACL عديمة الحالة فتتطلب ضعف عدد القواعد وحسابًا دقيقًا للمنافذ، ولذلك تُستخدم بشكل انتقائي.

قد يكون انعدام الحالة مفيدًا أحيانًا. فبما أن NACL تتعامل مع كل حزمة منفردة، فإن قاعدة الرفض تحظر حركة المرور في اتجاه واحد دون التأثير في الاتجاه الآخر، وتنطبق فورًا على جميع الاتصالات، بما فيها الاتصالات القائمة. وهذا يجعل NACL فعالة للحظر القوي والفوري أثناء الحوادث.

يؤثر تغيير قاعدة في مجموعة أمان على الاتصالات القائمة التي يجري تتبعها بالنسبة إلى الحزم الجديدة، لكن تتبع الحالة قد يبقي بعض التدفقات نشطة لفترة وجيزة. أما رفض NACL، وبما أنها عديمة الحالة، فيسري على الحزمة التالية مباشرةً لأي اتصال. وتكتسب هذه الفورية أهمية عند احتواء مهاجم نشط.

تخيّل مجموعة الأمان كـحارس ذكي يتذكر من سمح لهم بالدخول ويشير لهم بالعودة إلى الخارج، وتخيّل NACL كـورقة قواعد تُفحص لكل حزمة دون ذاكرة. تُعد معرفة أيهما ذو حالة من أكثر الحقائق اختبارًا في امتحان SCS-C02.

مجموعات الأمان ذات حالة: تحصل الطلبات المسموح بها على حركة المرور العائدة تلقائيًا. أما قوائم التحكم بالوصول إلى الشبكة فهي عديمة الحالة: يُقيَّم كل شيء على حدة، لذا يجب السماح صراحةً بـ المنافذ المؤقتة للاستجابات. يكون ترتيب الوارد NACL ثم SG، والصادر SG ثم NACL، ويجب أن تسمح كلتاهما. ويشير إنشاء الاتصالات مع فشل استجاباتها إلى فجوة في المنافذ المؤقتة ضمن وسيلة تحكم عديمة الحالة.