Perilaku Stateful dan Stateless

Perbedaan paling mendasar antara grup keamanan dan ACL jaringan adalah pelacakan status. Grup keamanan bersifat stateful, sedangkan ACL jaringan bersifat stateless. Satu sifat ini mengubah cara Anda menulis aturan, memecahkan masalah lalu lintas yang terbuang, dan menalar paket balasan.

Stateful berarti firewall mengingat setiap koneksi yang diizinkannya. Saat grup keamanan mengizinkan permintaan masuk, grup tersebut secara otomatis mengizinkan respons yang sesuai untuk keluar, dengan melacak koneksi itu dalam tabel status. Anda tidak perlu menulis aturan untuk lalu lintas balasan.

Stateless berarti firewall mengevaluasi setiap paket secara terpisah tanpa mengingat paket sebelumnya. ACL jaringan yang mengizinkan permintaan masuk tidak otomatis mengizinkan responsnya. Anda harus menambahkan aturan terpisah untuk arah balasan, atau balasan tersebut akan dibuang.

Klien terhubung ke server web Anda melalui port 443. Server membalas dari port 443 ke klien melalui port sementara yang tinggi. Dengan grup keamanan, balasan ini diizinkan secara otomatis. Dengan NACL, Anda memerlukan aturan izinkan keluar untuk rentang port sementara, atau koneksi akan tampak macet lalu gagal.

Lupa menyertakan port sementara dalam aturan keluar NACL adalah kesalahan stateless yang paling umum. Permintaan mencapai server, tetapi responsnya ditolak tanpa pemberitahuan. Selalu izinkan rentang port sementara yang relevan (umumnya 1024–65535) untuk balasan keluar dalam NACL khusus.

Saat lalu lintas terblokir secara misterius, periksa lapisan yang sesuai dengan gejalanya. Jika koneksi berhasil dibuat tetapi balasan gagal, curigai NACL stateless yang tidak mengizinkan port sementara. Jika tidak ada koneksi sama sekali, curigai aturan izinkan grup keamanan yang hilang atau penolakan NACL pada port permintaan.

Untuk lalu lintas masuk menuju sumber daya, NACL dievaluasi terlebih dahulu di tepi subnet, kemudian grup keamanan di ENI. Untuk lalu lintas keluar, grup keamanan diperiksa terlebih dahulu, kemudian NACL. Keduanya harus mengizinkan lalu lintas agar dapat lewat, sehingga salah satu lapisan dapat memblokir aliran tanpa pemberitahuan.

Sifat stateful membuat grup keamanan lebih mudah dikelola dan menjadi alasan grup keamanan digunakan sehari-hari. Anda menyatakan maksud satu kali, lalu lalu lintas balasan bekerja secara otomatis. NACL stateless memerlukan aturan dua kali lebih banyak dan perhitungan port yang cermat, sehingga penggunaannya lebih selektif.

Sifat stateless terkadang menjadi keunggulan. Karena NACL memperlakukan setiap paket secara terpisah, aturan tolak memblokir lalu lintas dalam satu arah tanpa memengaruhi arah lainnya dan langsung berlaku untuk semua koneksi, termasuk koneksi yang sudah terbentuk. Hal ini membuat NACL efektif untuk pemblokiran keras dan segera selama insiden.

Mengubah aturan grup keamanan memengaruhi koneksi yang sudah ada dan dilacak untuk paket baru, tetapi pelacakan status dapat membuat beberapa aliran tetap aktif selama beberapa saat. Penolakan NACL, karena bersifat stateless, berlaku pada paket berikutnya dari koneksi apa pun. Kecepatan penerapan ini penting saat menahan penyerang yang sedang aktif.

Bayangkan grup keamanan sebagai petugas pintu yang cerdas yang mengingat siapa yang diizinkannya masuk dan melambaikan mereka keluar kembali, sedangkan NACL adalah lembar aturan yang diperiksa untuk setiap paket tanpa ingatan. Mengetahui mana yang stateful merupakan salah satu fakta yang paling sering diuji dalam ujian SCS-C02.

Terapkan perbedaan antara stateful dan stateless.

Grup keamanan bersifat stateful: permintaan yang diizinkan otomatis mendapatkan lalu lintas balasan. ACL jaringan bersifat stateless: setiap paket dinilai secara terpisah, sehingga Anda harus secara eksplisit mengizinkan port sementara untuk balasan. Urutan masuk adalah NACL lalu SG; urutan keluar adalah SG lalu NACL, dan keduanya harus mengizinkan. Koneksi yang berhasil dibuat tetapi balasannya gagal menandakan adanya celah port sementara pada kontrol stateless.