Com Estado versus Sem Estado

A diferença mais profunda entre grupos de segurança e ACLs de rede é o rastreamento de estado. Os grupos de segurança mantêm estado; as ACLs de rede não mantêm estado. Essa única propriedade muda a forma como você escreve regras, investiga tráfego descartado e raciocina sobre pacotes de retorno.

Ter estado significa que o firewall se lembra de cada conexão que permite. Quando um grupo de segurança permite uma solicitação de entrada, ele permite automaticamente a resposta correspondente na saída, rastreando a conexão em uma tabela de estado. Você nunca precisa escrever uma regra para o tráfego de retorno.

Não ter estado significa que o firewall avalia cada pacote de forma independente, sem memória dos pacotes anteriores. Uma ACL de rede que permite uma solicitação de entrada não permite automaticamente a resposta. Você precisa adicionar uma regra separada para a direção de retorno; caso contrário, a resposta será descartada.

Um cliente se conecta ao seu servidor web na porta 443. O servidor responde da porta 443 para o cliente em uma porta efêmera alta. Com um grupo de segurança, essa resposta é automática. Com uma NACL, você precisa de uma permissão de saída para o intervalo de portas efêmeras; caso contrário, a conexão parece travar e depois falha.

Esquecer as portas efêmeras nas regras de saída da NACL é o erro sem estado mais comum. A solicitação chega ao servidor, mas a resposta é rejeitada silenciosamente. Sempre permita o intervalo efêmero relevante (normalmente 1024–65535) para respostas de saída nas NACLs personalizadas.

Quando o tráfego é bloqueado misteriosamente, verifique a camada que corresponde ao sintoma. Se uma conexão é estabelecida, mas as respostas falham, suspeite de uma NACL sem estado sem portas efêmeras permitidas. Se nada consegue se conectar, suspeite da ausência de uma permissão no grupo de segurança ou de uma negação da NACL na porta da solicitação.

Para o tráfego de entrada destinado a um recurso, a NACL é avaliada primeiro no limite da sub-rede e, depois, o grupo de segurança na ENI. Para a saída, o grupo de segurança é verificado primeiro e, depois, a NACL. Ambas precisam permitir o tráfego para que ele passe; portanto, qualquer uma das camadas pode bloquear silenciosamente um fluxo.

O controle de estado torna os grupos de segurança mais simples de gerenciar e é por isso que eles são a ferramenta usada no dia a dia. Você descreve a intenção uma vez, e o tráfego de retorno funciona automaticamente. As NACLs sem estado exigem o dobro de regras e cálculos cuidadosos de portas, por isso são usadas de forma seletiva.

A ausência de estado ocasionalmente é uma vantagem. Como as NACLs tratam cada pacote de forma independente, uma regra de negação bloqueia o tráfego em uma direção sem afetar a outra e se aplica instantaneamente a todas as conexões, inclusive às já estabelecidas. Isso torna as NACLs eficazes para bloqueios rígidos e imediatos durante incidentes.

Alterar uma regra de grupo de segurança afeta conexões existentes rastreadas para novos pacotes, mas o rastreamento de estado pode manter alguns fluxos ativos por pouco tempo. Uma negação na NACL, por não manter estado, entra em vigor no pacote seguinte de qualquer conexão. Essa imediaticidade é importante ao conter um invasor ativo.

Imagine o grupo de segurança como um porteiro inteligente que se lembra de quem deixou entrar e permite que essa pessoa saia, e a NACL como uma folha de regras verificada pacote a pacote, sem memória. Saber qual deles mantém estado é um dos fatos mais cobrados no exame SCS-C02.

Aplique a distinção entre manter e não manter estado.

Os grupos de segurança mantêm estado: as solicitações permitidas recebem tráfego de retorno automaticamente. As ACLs de rede não mantêm estado: cada pacote é avaliado isoladamente, portanto você precisa permitir explicitamente as portas efêmeras para as respostas. A ordem de entrada é NACL e depois SG; a de saída é SG e depois NACL, e ambos precisam permitir o tráfego. Conexões estabelecidas cujas respostas falham indicam uma lacuna nas portas efêmeras de um controle sem estado.