Tingkah Laku Berkeadaan berbanding Tanpa Keadaan

Perbezaan paling asas antara kumpulan keselamatan dan ACL rangkaian ialah penjejakan keadaan. Kumpulan keselamatan berkeadaan, manakala ACL rangkaian tidak berkeadaan. Sifat tunggal ini mengubah cara anda menulis peraturan, menyelesaikan masalah trafik yang digugurkan dan memahami paket balasan.

Berkeadaan bermaksud tembok api mengingati setiap sambungan yang dibenarkannya. Apabila kumpulan keselamatan membenarkan permintaan masuk, kumpulan itu secara automatik membenarkan respons sepadan keluar, sambil menjejaki sambungan tersebut dalam jadual keadaan. Anda tidak perlu menulis peraturan untuk trafik balasan.

Tidak berkeadaan bermaksud tembok api menilai setiap paket secara berasingan tanpa mengingati paket sebelumnya. ACL rangkaian yang membenarkan permintaan masuk tidak akan membenarkan respons secara automatik. Anda mesti menambah peraturan berasingan untuk arah balasan, atau respons itu akan digugurkan.

Klien bersambung ke pelayan web anda pada port 443. Pelayan membalas dari port 443 ke klien pada port sementara yang tinggi. Dengan kumpulan keselamatan, balasan ini berlaku secara automatik. Dengan NACL, anda memerlukan peraturan benarkan keluar untuk julat sementara, atau sambungan kelihatan tergantung sebelum gagal.

Terlupa memasukkan port sementara dalam peraturan keluar NACL ialah kesilapan tidak berkeadaan yang paling biasa. Permintaan sampai ke pelayan tetapi respons ditolak secara senyap. Sentiasa benarkan julat sementara yang berkaitan (biasanya 1024–65535) untuk respons keluar dalam NACL tersuai.

Apabila trafik disekat secara misteri, periksa lapisan yang sepadan dengan gejalanya. Jika sambungan berjaya diwujudkan tetapi balasan gagal, syaki NACL tidak berkeadaan yang tiada port sementara. Jika tiada apa-apa yang boleh bersambung, syaki ketiadaan peraturan benarkan kumpulan keselamatan atau penolakan NACL pada port permintaan.

Bagi trafik masuk ke sumber, NACL dinilai terlebih dahulu di pinggir subnet, kemudian kumpulan keselamatan pada ENI. Bagi trafik keluar, kumpulan keselamatan diperiksa dahulu, kemudian NACL. Kedua-duanya mesti membenarkan trafik itu untuk membolehkannya lalu, jadi mana-mana lapisan boleh menyekat aliran secara senyap.

Sifat berkeadaan menjadikan kumpulan keselamatan lebih mudah diurus dan itulah sebabnya ia menjadi alat harian. Anda menerangkan tujuan sekali sahaja dan trafik balasan terus berfungsi. NACL tidak berkeadaan memerlukan dua kali ganda peraturan serta pengiraan port yang teliti, sebab itu penggunaannya terpilih.

Sifat tidak berkeadaan kadangkala menjadi kelebihan. Oleh sebab NACL menganggap setiap paket secara berasingan, peraturan tolak menyekat trafik dalam satu arah tanpa menjejaskan arah yang lain dan terpakai serta-merta pada semua sambungan, termasuk sambungan yang telah diwujudkan. Ini menjadikan NACL berkesan untuk sekatan tegas dan segera semasa insiden.

Menukar peraturan kumpulan keselamatan menjejaskan sambungan sedia ada yang dijejaki bagi paket baharu, tetapi penjejakan keadaan boleh mengekalkan sesetengah aliran buat sementara. Penolakan NACL pula, kerana tidak berkeadaan, berkuat kuasa pada paket seterusnya bagi mana-mana sambungan. Kesegeraan ini penting ketika membendung penyerang yang sedang aktif.

Bayangkan kumpulan keselamatan sebagai pengawal pintu yang bijak dan mengingati orang yang dibenarkannya masuk serta membenarkan mereka keluar semula, manakala NACL ialah helaian peraturan yang diperiksa bagi setiap paket tanpa ingatan. Mengetahui yang mana satu berkeadaan ialah fakta yang sangat kerap diuji dalam peperiksaan SCS-C02.

Kumpulan keselamatan berkeadaan: permintaan yang dibenarkan mendapat trafik balasan secara automatik. ACL rangkaian tidak berkeadaan: setiap paket dinilai secara berasingan, jadi anda mesti membenarkan port sementara secara jelas untuk respons. Susunan masuk ialah NACL kemudian SG; susunan keluar ialah SG kemudian NACL, dan kedua-duanya mesti membenarkan trafik. Sambungan yang berjaya diwujudkan tetapi responsnya gagal menandakan jurang port sementara pada kawalan tidak berkeadaan.