Tillståndsbaserat kontra tillståndslöst beteende

Den djupaste skillnaden mellan säkerhetsgrupper och nätverks-ACL:er är tillståndsspårning. Säkerhetsgrupper är tillståndskänsliga, medan nätverks-ACL:er är tillståndslösa. Denna enda egenskap förändrar hur du skriver regler, felsöker blockerad trafik och resonerar om returpaket.

Tillståndskänslig innebär att brandväggen kommer ihåg varje anslutning som den tillåter. När en säkerhetsgrupp tillåter en inkommande begäran tillåter den automatiskt det matchande svaret tillbaka ut och spårar anslutningen i en tillståndstabell. Du behöver aldrig skriva en regel för returtrafik.

Tillståndslös innebär att brandväggen utvärderar varje paket separat utan att minnas tidigare paket. En nätverks-ACL som tillåter en inkommande begäran tillåter inte automatiskt svaret. Du måste lägga till en separat regel för returriktningen, annars släpps svaret inte igenom.

En klient ansluter till din webbserver på port 443. Servern svarar från port 443 till klienten på en hög ephemeral-port. Med en säkerhetsgrupp tillåts detta svar automatiskt. Med en NACL behöver du en utgående tillåtelse för ephemeral-intervallet, annars verkar anslutningen hänga sig och misslyckas sedan.

Att glömma ephemeral-portar i NACL-regler för utgående trafik är det vanligaste tillståndslösa misstaget. Begäran når servern, men svaret avvisas utan tydlig varning. Tillåt alltid det relevanta ephemeral-intervallet (vanligen 1024–65535) för utgående svar i anpassade NACL:er.

När trafik blockeras utan tydlig anledning kontrollerar du det lager som motsvarar symtomet. Om en anslutning upprättas men svaren misslyckas, misstänk en tillståndslös NACL där ephemeral-portar saknas. Om ingenting ansluter alls, misstänk en saknad tillåtelse i säkerhetsgruppen eller ett NACL-nekande på begärans port.

För inkommande trafik till en resurs utvärderas NACL:en först vid subnätets gräns och därefter säkerhetsgruppen vid ENI:n. För utgående trafik kontrolleras säkerhetsgruppen först och sedan NACL:en. Båda måste tillåta trafiken för att den ska passera, så båda lagren kan blockera ett flöde utan tydlig varning.

Tillståndskänslighet gör säkerhetsgrupper enklare att hantera och är anledningen till att de används till vardags. Du beskriver avsikten en gång, och returtrafiken fungerar automatiskt. Tillståndslösa NACL:er kräver dubbelt så många regler och noggranna portberäkningar, vilket är anledningen till att de används selektivt.

Tillståndslöshet är ibland en fördel. Eftersom NACL:er behandlar varje paket separat blockerar en nekanderegel trafik i en riktning utan att påverka den andra och gäller omedelbart för alla anslutningar, även etablerade. Det gör NACL:er effektiva för hårda och omedelbara blockeringar under incidenter.

Om du ändrar en regel i en säkerhetsgrupp påverkar det befintliga spårade anslutningar för nya paket, men tillståndsspårningen kan hålla vissa flöden vid liv en kort stund. Ett NACL-nekande, som är tillståndslöst, börjar gälla för nästa paket i vilken anslutning som helst. Denna omedelbara effekt är viktig när du begränsar en aktiv angripare.

Tänk på säkerhetsgruppen som en smart dörrvakt som minns vilka personer den släppte in och vinkar ut dem igen, och på NACL:en som ett regelblad som kontrolleras per paket utan minne. Att veta vilken av dem som är tillståndskänslig är en av de mest testade kunskaperna på SCS-C02-examen.

Säkerhetsgrupper är tillståndskänsliga: tillåtna begäranden får automatiskt returtrafik. Nätverks-ACL:er är tillståndslösa: varje paket bedöms separat, så du måste uttryckligen tillåta ephemeral-portar för svar. För inkommande trafik är ordningen NACL och sedan SG; för utgående trafik SG och sedan NACL, och båda måste tillåta. Anslutningar som upprättas men vars svar misslyckas tyder på en lucka i de tillståndslösa reglerna för ephemeral-portar.