Stateful kontra stateless adfærd

Den dybeste forskel mellem sikkerhedsgrupper og netværks-ACL'er er sporing af tilstand. Sikkerhedsgrupper er tilstandsbevidste, mens netværks-ACL'er er tilstandsløse. Denne ene egenskab ændrer, hvordan du skriver regler, fejlsøger blokeret trafik og vurderer returpakker.

Tilstandsbevidst betyder, at firewallen husker hver forbindelse, den tillader. Når en sikkerhedsgruppe tillader en indgående forespørgsel, tillader den automatisk det tilsvarende svar ud igen, fordi forbindelsen spores i en tilstandstabel. Du skriver aldrig en regel for returtrafik.

Tilstandsløs betyder, at firewallen evaluerer hver pakke uafhængigt uden at huske tidligere pakker. En netværks-ACL, der tillader en indgående forespørgsel, tillader ikke automatisk svaret. Du skal tilføje en separat regel for returretningen, ellers bliver svaret kasseret.

En klient opretter forbindelse til din webserver på port 443. Serveren svarer fra port 443 til klienten på en høj midlertidig port. Med en sikkerhedsgruppe sker dette automatisk. Med en NACL skal du have en udgående tilladelse for området af midlertidige porte, ellers ser forbindelsen ud til at hænge og mislykkes derefter.

At glemme midlertidige porte i NACL-regler for udgående trafik er den mest almindelige tilstandsløse fejl. Forespørgslen når serveren, men svaret afvises ubemærket. Tillad altid det relevante område af midlertidige porte (ofte 1024–65535) for udgående svar i brugerdefinerede NACL'er.

Når trafik på mystisk vis blokeres, skal du kontrollere det lag, der passer til symptomet. Hvis en forbindelse oprettes, men svarene mislykkes, skal du mistænke en tilstandsløs NACL uden midlertidige porte. Hvis intet overhovedet kan oprette forbindelse, skal du mistænke en manglende tilladelse i sikkerhedsgruppen eller en NACL-afvisning på forespørgselsporten.

For indgående trafik til en ressource evalueres NACL'en først ved undernettets kant og derefter sikkerhedsgruppen ved ENI'en. For udgående trafik kontrolleres sikkerhedsgruppen først og derefter NACL'en. Begge skal tillade trafikken, før den kan passere, så hvert lag kan ubemærket blokere en datastrøm.

Tilstandsbevidsthed gør sikkerhedsgrupper enklere at administrere og er årsagen til, at de er det daglige værktøj. Du beskriver hensigten én gang, og returtrafikken fungerer automatisk. Tilstandsløse NACL'er kræver dobbelt så mange regler og omhyggelig beregning af porte, og derfor bruges de udvalgt.

Tilstandsløshed er lejlighedsvis en fordel. Fordi NACL'er behandler hver pakke alene, blokerer en afvisningsregel trafik i én retning uden at påvirke den anden og gælder straks for alle forbindelser, også allerede oprettede forbindelser. Det gør NACL'er effektive til hårde, øjeblikkelige blokeringer under hændelser.

Hvis du ændrer en regel i en sikkerhedsgruppe, påvirker det eksisterende sporede forbindelser for nye pakker, men sporing af tilstand kan holde nogle datastrømme i live i kort tid. En NACL-afvisning træder derimod i kraft på den aller næste pakke i enhver forbindelse, fordi NACL'en er tilstandsløs. Denne øjeblikkelighed er vigtig ved inddæmning af en aktiv angriber.

Tænk på sikkerhedsgruppen som en smart dørmand, der husker, hvem han lukkede ind, og lukker dem ud igen, og på NACL'en som et regelsæt, der kontrolleres pr. pakke uden hukommelse. At vide, hvilken af dem der er tilstandsbevidst, er et af de mest testede fakta på SCS-C02-eksamenen.

Sikkerhedsgrupper er tilstandsbevidste: tilladte forespørgsler får automatisk returtrafik. Netværks-ACL'er er tilstandsløse: hver pakke vurderes alene, så du skal udtrykkeligt tillade midlertidige porte for svar. Den indgående rækkefølge er NACL og derefter SG; den udgående er SG og derefter NACL, og begge skal tillade trafikken. Forbindelser, der oprettes, men hvis svar mislykkes, tyder på et tilstandsløst hul i området af midlertidige porte.