Comportement avec état ou sans état

La différence fondamentale entre les groupes de sécurité et les ACL réseau réside dans le suivi de l’état. Les groupes de sécurité sont avec état ; les ACL réseau sont sans état. Cette seule propriété modifie la façon dont vous écrivez les règles, recherchez la cause d’un trafic supprimé et raisonnez sur les paquets de retour.

Avec état signifie que le pare-feu mémorise chaque connexion qu’il autorise. Lorsqu’un groupe de sécurité autorise une demande entrante, il autorise automatiquement la réponse correspondante vers l’extérieur en suivant la connexion dans une table d’état. Vous n’écrivez jamais de règle pour le trafic de retour.

Sans état signifie que le pare-feu évalue chaque paquet indépendamment, sans mémoriser les paquets précédents. Une ACL réseau qui autorise une demande entrante n’autorise pas automatiquement la réponse. Vous devez ajouter une règle distincte pour la direction du retour, sinon la réponse est supprimée.

Un client se connecte à votre serveur Web sur le port 443. Le serveur répond depuis le port 443 vers un port éphémère élevé du client. Avec un groupe de sécurité, cette réponse est automatique. Avec une NACL, vous devez autoriser en sortie la plage de ports éphémères, sinon la connexion semble rester bloquée avant d’échouer.

Oublier les ports éphémères dans les règles sortantes d’une NACL est l’erreur sans état la plus courante. La demande atteint le serveur, mais la réponse est rejetée silencieusement. Autorisez toujours la plage éphémère concernée (généralement 1024–65535) pour les réponses sortantes dans les NACL personnalisées.

Lorsque le trafic est mystérieusement bloqué, vérifiez la couche qui correspond au symptôme. Si une connexion s’établit mais que les réponses échouent, suspectez une NACL sans état à laquelle les ports éphémères font défaut. Si rien ne se connecte, suspectez l’absence d’une autorisation dans un groupe de sécurité ou un refus NACL sur le port demandé.

Pour le trafic entrant vers une ressource, la NACL est évaluée en premier à la périphérie du sous-réseau, puis le groupe de sécurité au niveau de l’ENI. Pour le trafic sortant, le groupe de sécurité est vérifié en premier, puis la NACL. Les deux doivent autoriser le trafic pour qu’il passe ; chacune des deux couches peut donc bloquer silencieusement un flux.

Le suivi de l’état rend les groupes de sécurité plus simples à gérer, ce qui explique pourquoi ils constituent l’outil quotidien. Vous décrivez l’intention une seule fois et le trafic de retour fonctionne automatiquement. Les NACL sans état nécessitent deux fois plus de règles et un calcul minutieux des ports ; elles sont donc utilisées de manière sélective.

L’absence d’état peut parfois être un avantage. Comme les NACL traitent chaque paquet isolément, une règle de refus bloque le trafic dans une direction sans affecter l’autre et s’applique immédiatement à toutes les connexions, y compris celles déjà établies. Les NACL sont ainsi efficaces pour les blocages fermes et immédiats pendant les incidents.

La modification d’une règle de groupe de sécurité affecte les connexions existantes suivies pour leurs nouveaux paquets, mais le suivi de l’état peut maintenir certains flux actifs brièvement. Un refus NACL, puisqu’elle est sans état, prend effet dès le paquet suivant de n’importe quelle connexion. Cette immédiateté est importante pour contenir un attaquant actif.

Imaginez le groupe de sécurité comme un videur intelligent qui se souvient des personnes qu’il a laissées entrer et les laisse ressortir, et la NACL comme une feuille de règles vérifiée pour chaque paquet, sans mémoire. Savoir lequel des deux fonctionne avec état est l’un des points les plus souvent évalués à l’examen SCS-C02.

Appliquez la distinction entre fonctionnement avec état et sans état.

Les groupes de sécurité sont avec état : les demandes autorisées obtiennent automatiquement un trafic de retour. Les ACL réseau sont sans état : chaque paquet est évalué seul, vous devez donc autoriser explicitement les ports éphémères pour les réponses. L’ordre entrant est NACL puis SG ; l’ordre sortant est SG puis NACL, et les deux doivent autoriser le trafic. Une connexion qui s’établit mais dont les réponses échouent signale une absence d’autorisation des ports éphémères dans une couche sans état.