Zachowanie stanowe a bezstanowe

Najważniejsza różnica między security groups a network ACL to śledzenie stanu. Security groups są stanowe, a network ACL są bezstanowe. Ta jedna właściwość zmienia sposób zapisywania reguł, diagnozowania odrzuconego ruchu i analizowania pakietów powrotnych.

Stanowe działanie oznacza, że zapora zapamiętuje każde dozwolone połączenie. Gdy security group zezwoli na żądanie przychodzące, automatycznie zezwala również na pasującą odpowiedź wychodzącą, śledząc połączenie w tabeli stanów. Nie trzeba pisać reguły dla ruchu powrotnego.

Bezstanowe działanie oznacza, że zapora ocenia każdy pakiet niezależnie, bez pamiętania wcześniejszych pakietów. Network ACL, która zezwala na żądanie przychodzące, nie zezwala automatycznie na odpowiedź. Trzeba dodać osobną regułę dla kierunku powrotnego, inaczej odpowiedź zostanie odrzucona.

Klient łączy się z serwerem internetowym na porcie 443. Serwer odpowiada z portu 443 na wysoki port efemeryczny klienta. W przypadku security group ta odpowiedź jest dozwolona automatycznie. W przypadku NACL trzeba dodać regułę outbound allow dla zakresu portów efemerycznych, inaczej połączenie będzie sprawiać wrażenie zawieszonego, a następnie zakończy się niepowodzeniem.

Zapomnienie o portach efemerycznych w regułach outbound NACL to najczęstszy błąd związany z działaniem bezstanowym. Żądanie dociera do serwera, ale odpowiedź zostaje po cichu odrzucona. W niestandardowych NACL należy zawsze zezwalać na odpowiedni zakres portów efemerycznych (często 1024–65535) dla odpowiedzi wychodzących.

Gdy ruch jest w tajemniczy sposób blokowany, należy sprawdzić warstwę odpowiadającą objawom. Jeśli połączenie zostaje ustanowione, ale odpowiedzi nie docierają, należy podejrzewać bezstanową NACL bez portów efemerycznych. Jeśli nie można nawiązać żadnego połączenia, przyczyną może być brak reguły allow w security group albo odrzucenie żądania na porcie przez NACL.

W przypadku ruchu przychodzącego do zasobu NACL jest oceniana jako pierwsza na granicy podsieci, a następnie security group przy ENI. W przypadku ruchu wychodzącego najpierw sprawdzana jest security group, a potem NACL. Obie warstwy muszą zezwolić na ruch, aby mógł on przejść, dlatego każda z nich może po cichu zablokować przepływ.

Działanie stanowe upraszcza zarządzanie security groups i dlatego są one narzędziem używanym na co dzień. Wystarczy raz opisać założenia, a ruch powrotny działa automatycznie. Bezstanowe NACL wymagają podwojenia liczby reguł i dokładnego obliczania zakresów portów, dlatego stosuje się je wybiórczo.

Brak stanu bywa czasem zaletą. Ponieważ NACL traktują każdy pakiet niezależnie, reguła deny blokuje ruch w jednym kierunku bez wpływu na drugi i natychmiast dotyczy wszystkich połączeń, także już ustanowionych. Dzięki temu NACL skutecznie nadają się do zdecydowanych, natychmiastowych blokad podczas incydentów.

Zmiana reguły security group wpływa na istniejące śledzone połączenia dla nowych pakietów, ale śledzenie stanu może przez krótki czas utrzymywać niektóre przepływy. Odrzucenie przez NACL, jako mechanizm bezstanowy, zaczyna działać od następnego pakietu dowolnego połączenia. Ta natychmiastowość ma znaczenie podczas powstrzymywania aktywnego napastnika.

Wyobraź sobie security group jako inteligentnego bramkarza, który pamięta, kogo wpuścił, i wypuszcza te osoby z powrotem, a NACL jako kartę reguł sprawdzaną dla każdego pakietu, bez pamięci. Wiedza o tym, który mechanizm jest stanowy, należy do najczęściej sprawdzanych zagadnień na egzaminie SCS-C02.

Zastosuj rozróżnienie między działaniem stanowym a bezstanowym.

Security groups są stanowe: dozwolone żądania automatycznie otrzymują zezwolenie na ruch powrotny. Network ACL są bezstanowe: każdy pakiet jest oceniany niezależnie, dlatego trzeba jawnie zezwolić na porty efemeryczne dla odpowiedzi. Dla ruchu przychodzącego kolejność to NACL, a następnie SG; dla wychodzącego — SG, a następnie NACL. Obie warstwy muszą zezwolić na ruch. Połączenie, które zostaje ustanowione, ale nie otrzymuje odpowiedzi, wskazuje na brak reguły dla portów efemerycznych w bezstanowej warstwie.