Comportamiento con estado frente a sin estado

La diferencia fundamental entre los grupos de seguridad y las ACL de red es el seguimiento del estado. Los grupos de seguridad tienen estado; las ACL de red no tienen estado. Esta única propiedad cambia la forma de escribir reglas, solucionar problemas de tráfico descartado y razonar sobre los paquetes de respuesta.

Tener estado significa que el firewall recuerda cada conexión que permite. Cuando un grupo de seguridad permite una solicitud entrante, permite automáticamente que la respuesta correspondiente salga, realizando el seguimiento de la conexión en una tabla de estados. Nunca debe escribir una regla para el tráfico de respuesta.

No tener estado significa que el firewall evalúa cada paquete de forma independiente, sin recordar los paquetes anteriores. Una ACL de red que permite una solicitud entrante no permite automáticamente la respuesta. Debe añadir una regla independiente para la dirección de retorno; de lo contrario, la respuesta se descarta.

Un cliente se conecta a su servidor web por el puerto 443. El servidor responde desde el puerto 443 hacia un puerto efímero alto del cliente. Con un grupo de seguridad, esta respuesta es automática. Con una NACL, necesita un permiso saliente para el rango de puertos efímeros; de lo contrario, la conexión parece quedar bloqueada y finalmente falla.

Olvidar los puertos efímeros en las reglas salientes de una NACL es el error más común al trabajar sin estado. La solicitud llega al servidor, pero la respuesta se rechaza silenciosamente. Permita siempre el rango de puertos efímeros correspondiente (habitualmente 1024–65535) para las respuestas salientes en las NACL personalizadas.

Cuando el tráfico se bloquea misteriosamente, compruebe la capa que corresponda al síntoma. Si la conexión se establece pero las respuestas fallan, sospeche de una NACL sin estado a la que le faltan puertos efímeros. Si no se establece ninguna conexión, sospeche de la falta de un permiso en el grupo de seguridad o de una denegación de la NACL en el puerto de la solicitud.

Para el tráfico entrante hacia un recurso, la NACL se evalúa primero en el borde de la subred y después se evalúa el grupo de seguridad en la ENI. Para el tráfico saliente, primero se comprueba el grupo de seguridad y después la NACL. Ambos deben permitir el tráfico para que pueda pasar, por lo que cualquiera de las dos capas puede bloquear silenciosamente un flujo.

Tener estado hace que los grupos de seguridad sean más fáciles de administrar y por eso son la herramienta de uso diario. Se describe la intención una sola vez y el tráfico de respuesta funciona automáticamente. Las NACL sin estado requieren el doble de reglas y cálculos cuidadosos de puertos, por lo que se utilizan de forma selectiva.

No tener estado ofrece ocasionalmente una ventaja. Como las NACL tratan cada paquete de forma independiente, una regla de denegación bloquea el tráfico en una dirección sin afectar a la otra y se aplica de inmediato a todas las conexiones, incluidas las ya establecidas. Esto hace que las NACL sean eficaces para bloqueos firmes e inmediatos durante incidentes.

Cambiar una regla de un grupo de seguridad afecta a los paquetes nuevos de las conexiones existentes cuyo estado se sigue, pero el seguimiento del estado puede mantener algunos flujos activos brevemente. Una denegación de NACL, al no tener estado, surte efecto en el siguiente paquete de cualquier conexión. Esta inmediatez es importante para contener a un atacante activo.

Imagine el grupo de seguridad como un portero inteligente que recuerda a quién dejó entrar y le permite volver a salir, y la NACL como una hoja de reglas que se comprueba paquete por paquete y no tiene memoria. Saber cuál de los dos tiene estado es uno de los conceptos que más se evalúan en el examen SCS-C02.

Aplique la diferencia entre tener estado y no tenerlo.

Los grupos de seguridad tienen estado: las solicitudes permitidas obtienen automáticamente tráfico de respuesta. Las ACL de red no tienen estado: cada paquete se evalúa por separado, por lo que debe permitir explícitamente los puertos efímeros para las respuestas. El orden entrante es NACL y después SG; el saliente es SG y después NACL, y ambos deben permitirlo. Las conexiones que se establecen pero cuyas respuestas fallan indican una carencia de puertos efímeros en un control sin estado.