Tilstandsbevarende kontra tilstandsløs atferd

Den viktigste forskjellen mellom sikkerhetsgrupper og network ACL-er er tilstandssporing. Sikkerhetsgrupper er tilstandsbevarende, mens network ACL-er er tilstandsløse. Denne ene egenskapen endrer hvordan De skriver regler, feilsøker blokkert trafikk og vurderer returpakker.

Tilstandsbevarende betyr at brannmuren husker hver tilkobling den tillater. Når en sikkerhetsgruppe tillater en innkommende forespørsel, tillater den automatisk det tilhørende svaret ut igjen og sporer tilkoblingen i en tilstandstabell. De trenger aldri å skrive en regel for returtrafikken.

Tilstandsløs betyr at brannmuren evaluerer hver pakke uavhengig, uten å huske tidligere pakker. En network ACL som tillater en innkommende forespørsel, tillater ikke automatisk svaret. De må legge til en separat regel for returretningen, ellers blir svaret forkastet.

En klient kobler seg til webserveren på port 443. Serveren svarer fra port 443 til klienten på en høy ephemeral-port. Med en sikkerhetsgruppe skjer dette automatisk. Med en NACL trenger De en utgående tillatelse for området med ephemeral-porter, ellers ser tilkoblingen ut til å henge før den mislykkes.

Å glemme ephemeral-porter i utgående NACL-regler er den vanligste tilstandsløse feilen. Forespørselen når serveren, men svaret blir avvist uten noen tydelig feilmelding. Tillat alltid det relevante området med ephemeral-porter (vanligvis 1024–65535) for utgående svar i egendefinerte NACL-er.

Når trafikk på mystisk vis blir blokkert, bør De kontrollere laget som passer med symptomet. Hvis en tilkobling opprettes, men svarene mislykkes, bør De mistenke en tilstandsløs NACL som mangler ephemeral-porter. Hvis ingenting kobler seg til, bør De mistenke en manglende tillatelse i sikkerhetsgruppen eller en NACL-avvisning på forespørselsporten.

For innkommende trafikk til en ressurs evalueres NACL-en først ved subnettkanten, og deretter sikkerhetsgruppen ved ENI-en. For utgående trafikk kontrolleres sikkerhetsgruppen først, og deretter NACL-en. Begge må tillate trafikken for at den skal passere, så begge lag kan blokkere en flyt uten noen tydelig feilmelding.

Tilstandsbevaringen gjør sikkerhetsgrupper enklere å administrere, og er grunnen til at de er det daglige verktøyet. De beskriver hensikten én gang, og returtrafikken fungerer automatisk. Tilstandsløse NACL-er krever dobbelt så mange regler og nøye beregning av porter, og brukes derfor selektivt.

Tilstandsløshet kan av og til være en fordel. Fordi NACL-er behandler hver pakke separat, blokkerer en avvisningsregel trafikk i én retning uten å påvirke den andre, og den gjelder umiddelbart for alle tilkoblinger, også allerede etablerte tilkoblinger. Dette gjør NACL-er effektive for harde, umiddelbare blokkeringer under sikkerhetshendelser.

Hvis De endrer en regel i en sikkerhetsgruppe, påvirker det eksisterende sporede tilkoblinger for nye pakker, men tilstandssporingen kan holde enkelte flyter aktive en kort stund. En NACL-avvisning er tilstandsløs og trer i kraft for den aller neste pakken i enhver tilkobling. Denne umiddelbarheten er viktig når De begrenser en aktiv angriper.

Tenk på sikkerhetsgruppen som en smart dørvakt som husker hvem han slapp inn, og slipper dem ut igjen, mens NACL-en er et regelark som kontrolleres for hver pakke uten hukommelse. Å vite hvilken av dem som er tilstandsbevarende, er et av de mest testede punktene på SCS-C02-eksamenen.

Sikkerhetsgrupper er tilstandsbevarende: tillatte forespørsler får automatisk returtrafikk. Network ACL-er er tilstandsløse: hver pakke vurderes separat, så De må eksplisitt tillate ephemeral-porter for svar. For innkommende trafikk er rekkefølgen NACL og deretter SG; for utgående trafikk er den SG og deretter NACL, og begge må tillate. Tilkoblinger som opprettes, men der svarene mislykkes, tyder på et manglende område med ephemeral-porter i en tilstandsløs kontroll.