Comportamento stateful e stateless

La differenza più profonda tra security group e network ACL riguarda il tracciamento dello stato. I security group sono stateful, mentre le network ACL sono stateless. Questa singola proprietà cambia il modo in cui si scrivono le regole, si risolvono i problemi relativi al traffico scartato e si ragiona sui pacchetti di risposta.

Stateful significa che il firewall ricorda ogni connessione che autorizza. Quando un security group consente una richiesta in ingresso, consente automaticamente la risposta corrispondente in uscita, tracciando la connessione in una tabella di stato. Non deve mai scrivere una regola per il traffico di risposta.

Stateless significa che il firewall valuta ogni pacchetto singolarmente, senza ricordare i pacchetti precedenti. Una network ACL che consente una richiesta in ingresso non consente automaticamente la risposta. Deve aggiungere una regola separata per la direzione di ritorno, altrimenti la risposta viene scartata.

Un client si connette al server web sulla porta 443. Il server risponde dalla porta 443 verso una porta alta effimera del client. Con un security group, questa risposta è automatica. Con una NACL, è necessaria un'autorizzazione in uscita per l'intervallo delle porte effimere, altrimenti la connessione sembra rimanere in attesa e poi non riesce.

Dimenticare le porte effimere nelle regole NACL in uscita è l'errore stateless più comune. La richiesta raggiunge il server, ma la risposta viene rifiutata senza messaggi. Nelle NACL personalizzate consenta sempre l'intervallo effimero pertinente (comunemente 1024–65535) per le risposte in uscita.

Quando il traffico viene bloccato in modo apparentemente inspiegabile, verifichi il livello corrispondente al sintomo. Se una connessione viene stabilita ma le risposte non arrivano, sospetti una NACL stateless priva delle porte effimere. Se non viene stabilita alcuna connessione, sospetti un'autorizzazione mancante nel security group oppure una negazione NACL sulla porta della richiesta.

Per il traffico in ingresso verso una risorsa, la NACL viene valutata per prima al bordo della subnet, quindi viene valutato il security group sull'ENI. Per il traffico in uscita, viene verificato prima il security group e poi la NACL. Entrambi devono consentire il traffico perché possa passare; ciascun livello può quindi bloccare silenziosamente un flusso.

Lo stateful rende i security group più semplici da gestire ed è il motivo per cui sono lo strumento utilizzato quotidianamente. Si descrive l'intento una sola volta e il traffico di risposta funziona automaticamente. Le NACL stateless richiedono il doppio delle regole e un calcolo accurato delle porte, perciò vengono utilizzate in modo selettivo.

L'assenza di stato è talvolta un vantaggio. Poiché le NACL trattano ogni pacchetto singolarmente, una regola di negazione blocca il traffico in una direzione senza influire sull'altra e si applica immediatamente a tutte le connessioni, comprese quelle già stabilite. Ciò rende le NACL efficaci per blocchi rigidi e immediati durante gli incidenti.

La modifica di una regola di un security group influisce sui pacchetti successivi delle connessioni esistenti tracciate, ma il tracciamento dello stato può mantenere attivi alcuni flussi per un breve periodo. Una negazione NACL, essendo stateless, diventa effettiva già dal pacchetto successivo di qualsiasi connessione. Questa immediatezza è importante per contenere un attaccante attivo.

Immagini il security group come un addetto alla sicurezza intelligente che ricorda chi ha fatto entrare e lo lascia uscire, e la NACL come un foglio di regole verificato per ogni pacchetto, senza memoria. Sapere quale dei due è stateful è uno degli argomenti verificati più spesso nell'esame SCS-C02.

Applichi la distinzione tra stateful e stateless.

I security group sono stateful: alle richieste consentite corrisponde automaticamente il traffico di risposta. Le network ACL sono stateless: ogni pacchetto viene valutato singolarmente, quindi è necessario consentire esplicitamente le porte effimere per le risposte. Per il traffico in ingresso l'ordine è NACL, poi SG; per quello in uscita è SG, poi NACL, ed entrambi devono consentire il traffico. Le connessioni che vengono stabilite ma le cui risposte non arrivano indicano una lacuna nelle porte effimere di un controllo stateless.