ステートフルとステートレスの動作の違い

セキュリティグループとネットワークACLの最も本質的な違いは、状態の追跡です。セキュリティグループはステートフルで、ネットワークACLはステートレスです。この1つの性質によって、ルールの記述方法、破棄されたトラフィックのトラブルシューティング、応答パケットの考え方が変わります。

ステートフルとは、ファイアウォールが許可した各接続を記憶することです。セキュリティグループがインバウンドのリクエストを許可すると、状態テーブルで接続を追跡し、一致する応答のアウトバウンドも自動的に許可します。応答トラフィック用のルールを記述する必要はありません。

ステートレスとは、ファイアウォールが以前のパケットを記憶せず、各パケットを独立して評価することです。インバウンドのリクエストを許可したネットワークACLが、応答を自動的に許可することはありません。応答方向用の別のルールを追加しなければ、応答は破棄されます。

クライアントがポート443でWebサーバーに接続するとします。サーバーはポート443から、クライアントの高い番号のエフェメラルポートへ応答します。セキュリティグループでは、この応答は自動的に許可されます。NACLでは、エフェメラルポート範囲へのアウトバウンド許可が必要です。これがなければ、接続はハングした後に失敗します。

NACLのアウトバウンドルールでエフェメラルポートを忘れることは、ステートレス構成で最もよくあるミスです。リクエストはサーバーに到達しますが、応答は何の通知もなく拒否されます。カスタムNACLでは、アウトバウンド応答用に、関連するエフェメラルポート範囲（一般的には1024～65535）を必ず許可してください。

トラフィックが原因不明でブロックされた場合は、症状に対応する層を確認します。接続は確立するものの応答が失敗する場合は、エフェメラルポートが不足しているステートレスNACLを疑います。まったく接続できない場合は、セキュリティグループの許可不足、またはリクエストポートに対するNACLの拒否を疑います。

リソースへのインバウンドトラフィックでは、まずサブネット境界のNACLが評価され、次にENIのセキュリティグループが評価されます。アウトバウンドでは、先にセキュリティグループ、次にNACLが確認されます。トラフィックが通過するには両方が許可する必要があるため、どちらの層でもフローを気付かれないままブロックできます。

ステートフルであるため、セキュリティグループは管理しやすく、日常的な制御手段として使われます。意図を一度記述すれば、応答トラフィックは自動的に機能します。ステートレスなNACLではルールが2倍必要になり、ポートを慎重に計算しなければならないため、限定的に使用されます。

ステートレスであることが有利になる場合もあります。NACLは各パケットを単独で扱うため、拒否ルールで一方向のトラフィックだけをブロックでき、確立済みの接続を含むすべての接続に即座に適用されます。そのため、インシデント発生時の強力かつ即時的なブロックに効果的です。

セキュリティグループのルールを変更すると、追跡中の既存接続に対しても新しいパケットから影響しますが、状態追跡によって一部のフローが短時間存続する場合があります。ステートレスなNACLの拒否は、あらゆる接続の次のパケットから有効になります。この即時性は、活動中の攻撃者を封じ込める際に重要です。

セキュリティグループは、入場を許可した相手を覚えていて戻る際に通してくれる賢い警備員、NACLは記憶なしにパケットごとに確認するルール表だと考えてください。どちらがステートフルかを知ることは、SCS-C02試験で最も頻繁に問われる事項の1つです。

ステートフルとステートレスの違いを適用してみましょう。

セキュリティグループはステートフルで、許可されたリクエストには応答トラフィックが自動的に許可されます。ネットワークACLはステートレスで、各パケットを単独で判定するため、応答用にエフェメラルポートを明示的に許可する必要があります。インバウンドの順序はNACL、SGの順、アウトバウンドはSG、NACLの順で、両方が許可しなければなりません。接続は確立するものの応答が失敗する場合は、ステートレスな設定でエフェメラルポートが不足している可能性があります。