Поведение с отслеживанием состояния и без него

Главное различие между группами безопасности и сетевыми списками управления доступом — это отслеживание состояния. Группы безопасности отслеживают состояние, а сетевые списки управления доступом — нет. Это единственное свойство меняет написание правил, поиск причин отброшенного трафика и анализ обратных пакетов.

Отслеживание состояния означает, что брандмауэр запоминает каждое разрешённое соединение. Когда группа безопасности разрешает входящий запрос, она автоматически разрешает соответствующий ответ наружу, отслеживая соединение в таблице состояний. Для обратного трафика не нужно писать отдельное правило.

Отсутствие отслеживания состояния означает, что брандмауэр оценивает каждый пакет независимо и не запоминает предыдущие пакеты. Сетевой список управления доступом, разрешивший входящий запрос, не разрешает ответ автоматически. Необходимо добавить отдельное правило для обратного направления, иначе ответ будет отброшен.

Клиент подключается к веб-серверу через порт 443. Сервер отвечает с порта 443 на высокий эфемерный порт клиента. С группой безопасности этот ответ разрешается автоматически. Для NACL необходимо исходящее разрешение эфемерного диапазона, иначе соединение сначала будет выглядеть зависшим, а затем завершится ошибкой.

Забыть указать эфемерные порты в исходящих правилах NACL — самая распространённая ошибка при работе с механизмами без отслеживания состояния. Запрос доходит до сервера, но ответ незаметно отклоняется. В пользовательских NACL всегда разрешайте соответствующий эфемерный диапазон (обычно 1024–65535) для исходящих ответов.

Если трафик загадочным образом блокируется, проверьте уровень, соответствующий симптомам. Если соединение устанавливается, но ответы не проходят, подозревайте NACL без отслеживания состояния, в котором не разрешены эфемерные порты. Если соединение вообще не устанавливается, ищите отсутствующее разрешение в группе безопасности или запрет NACL для порта запроса.

Для входящего трафика к ресурсу сначала проверяется NACL на границе подсети, затем группа безопасности на ENI. Для исходящего трафика сначала проверяется группа безопасности, затем NACL. Оба механизма должны разрешить трафик, поэтому любой из уровней может незаметно заблокировать поток.

Отслеживание состояния упрощает управление группами безопасности и поэтому делает их повседневным инструментом. Вы один раз описываете намерение, а обратный трафик начинает работать автоматически. NACL без отслеживания состояния требуют вдвое больше правил и тщательного расчёта портов, поэтому используются выборочно.

Отсутствие отслеживания состояния иногда даёт преимущество. Поскольку NACL рассматривают каждый пакет отдельно, запрещающее правило блокирует трафик в одном направлении, не затрагивая другое, и сразу применяется ко всем соединениям, включая уже установленные. Поэтому NACL эффективны для жёстких немедленных блокировок во время инцидентов.

Изменение правила группы безопасности влияет на существующие отслеживаемые соединения для новых пакетов, но отслеживание состояния может ненадолго сохранить некоторые потоки активными. Запрет NACL, поскольку этот механизм не отслеживает состояние, начинает действовать уже для следующего пакета любого соединения. Такая немедленность важна при сдерживании активного злоумышленника.

Представляйте группу безопасности как умного вышибалу, который помнит, кого впустил, и выпускает этих людей обратно, а NACL — как лист правил, проверяемый для каждого пакета без запоминания предыдущих событий. Понимание того, какой механизм отслеживает состояние, — один из наиболее часто проверяемых фактов на экзамене SCS-C02.

Примените различие между отслеживанием состояния и его отсутствием.

Группы безопасности отслеживают состояние: для разрешённых запросов обратный трафик разрешается автоматически. Сетевые списки управления доступом не отслеживают состояние: каждый пакет оценивается отдельно, поэтому для ответов необходимо явно разрешать эфемерные порты. Для входящего трафика порядок таков: NACL, затем SG; для исходящего — SG, затем NACL, и оба механизма должны разрешить трафик. Если соединение устанавливается, но ответы не проходят, это указывает на отсутствие разрешения эфемерных портов в механизме без отслеживания состояния.