พฤติกรรมแบบมีสถานะเทียบกับไร้สถานะ

ความแตกต่างที่สำคัญที่สุดระหว่างกลุ่มความปลอดภัยกับ ACL เครือข่ายคือ การติดตามสถานะ กลุ่มความปลอดภัย มีสถานะ ส่วน ACL เครือข่าย ไม่มีสถานะ คุณสมบัติเดียวนี้เปลี่ยนวิธีเขียนกฎ วิธีแก้ไขปัญหาการรับส่งข้อมูลที่ถูกทิ้ง และวิธีวิเคราะห์แพ็กเก็ตตอบกลับ

การมีสถานะหมายความว่าไฟร์วอลล์จดจำการเชื่อมต่อแต่ละรายการที่อนุญาต เมื่อกลุ่มความปลอดภัยอนุญาตคำขอขาเข้า กลุ่มจะอนุญาตการตอบกลับที่ตรงกันขาออกโดยอัตโนมัติ พร้อมติดตามการเชื่อมต่อไว้ในตารางสถานะ คุณไม่ต้องเขียนกฎสำหรับการรับส่งข้อมูลตอบกลับ

การไม่มีสถานะหมายความว่าไฟร์วอลล์ประเมินแพ็กเก็ตแต่ละรายการอย่างเป็นอิสระ โดยไม่จดจำแพ็กเก็ตก่อนหน้า ACL เครือข่ายที่อนุญาตคำขอขาเข้าจะไม่อนุญาตการตอบกลับโดยอัตโนมัติ คุณต้องเพิ่มกฎแยกสำหรับทิศทางขากลับ มิฉะนั้นการตอบกลับจะถูกทิ้ง

ไคลเอ็นต์เชื่อมต่อกับเว็บเซิร์ฟเวอร์ของคุณที่พอร์ต 443 เซิร์ฟเวอร์ตอบกลับจากพอร์ต 443 ไปยังไคลเอ็นต์ที่ พอร์ตชั่วคราวหมายเลขสูง หากใช้กลุ่มความปลอดภัย การตอบกลับนี้จะได้รับอนุญาตโดยอัตโนมัติ แต่หากใช้ NACL คุณต้องมีกฎอนุญาตขาออกสำหรับช่วงพอร์ตชั่วคราว มิฉะนั้นการเชื่อมต่อจะดูเหมือนค้างแล้วล้มเหลว

การลืม พอร์ตชั่วคราวในกฎขาออกของ NACL เป็นข้อผิดพลาดแบบไม่มีสถานะที่พบบ่อยที่สุด คำขอไปถึงเซิร์ฟเวอร์ แต่การตอบกลับถูกปฏิเสธโดยไม่มีสัญญาณแจ้งเตือน ควรอนุญาตช่วงพอร์ตชั่วคราวที่เกี่ยวข้องเสมอ (โดยทั่วไปคือ 1024–65535) สำหรับการตอบกลับขาออกใน NACL ที่กำหนดเอง

เมื่อการรับส่งข้อมูลถูกบล็อกอย่างไม่มีสาเหตุชัดเจน ให้ตรวจสอบชั้นที่ตรงกับอาการ หากการเชื่อมต่อเริ่มต้นได้แต่การตอบกลับล้มเหลว ให้สงสัยว่า NACL ที่ไม่มีสถานะขาดพอร์ตชั่วคราว หากเชื่อมต่อไม่ได้เลย ให้สงสัยว่าขาดกฎอนุญาตในกลุ่มความปลอดภัย หรือ NACL ปฏิเสธพอร์ตที่ใช้ส่งคำขอ

สำหรับการรับส่งข้อมูลขาเข้าไปยังทรัพยากร จะประเมิน NACL ก่อนที่ขอบซับเน็ต จากนั้นจึงประเมินกลุ่มความปลอดภัยที่ ENI สำหรับขาออก จะตรวจสอบกลุ่มความปลอดภัยก่อน แล้วจึงตรวจสอบ NACL ทั้งสองส่วนต้องอนุญาตการรับส่งข้อมูลจึงจะผ่านได้ ดังนั้นแต่ละชั้นจึงสามารถบล็อกการไหลของข้อมูลได้โดยไม่มีสัญญาณแจ้งเตือน

การมีสถานะทำให้จัดการกลุ่มความปลอดภัยได้ง่ายกว่า และเป็นเหตุผลที่กลุ่มเหล่านี้เป็นเครื่องมือที่ใช้ในชีวิตประจำวัน คุณระบุเจตนาเพียงครั้งเดียว แล้วการรับส่งข้อมูลตอบกลับก็ทำงานได้ทันที ส่วน NACL ที่ไม่มีสถานะต้องใช้กฎมากขึ้นเป็นสองเท่าและต้องคำนวณพอร์ตอย่างรอบคอบ จึงมักใช้เฉพาะบางกรณี

การไม่มีสถานะก็มีข้อดีในบางครั้ง เนื่องจาก NACL จัดการกับแต่ละแพ็กเก็ตแยกจากกัน กฎปฏิเสธจึงบล็อกการรับส่งข้อมูลได้ในทิศทางเดียวโดยไม่กระทบอีกทิศทางหนึ่ง และมีผลกับการเชื่อมต่อทั้งหมดทันที รวมถึงการเชื่อมต่อที่เริ่มต้นแล้วด้วย คุณสมบัตินี้ทำให้ NACL มีประสิทธิภาพสำหรับการบล็อกอย่างเด็ดขาดและทันทีระหว่างเกิดเหตุการณ์

การเปลี่ยนกฎของกลุ่มความปลอดภัยจะมีผลต่อ การเชื่อมต่อที่ติดตามอยู่เดิมสำหรับแพ็กเก็ตใหม่ แต่การติดตามสถานะอาจทำให้การไหลของข้อมูลบางส่วนยังทำงานต่อได้ชั่วครู่ ส่วนการปฏิเสธของ NACL ซึ่งไม่มีสถานะ จะมีผลกับแพ็กเก็ตถัดไปของการเชื่อมต่อใด ๆ ทันที ความรวดเร็วนี้สำคัญเมื่อต้องจำกัดขอบเขตผู้โจมตีที่กำลังปฏิบัติการ

ลองนึกภาพกลุ่มความปลอดภัยเป็น พนักงานคัดกรองอัจฉริยะที่จำได้ว่าอนุญาตให้ใครเข้ามา และโบกมือให้คนเหล่านั้นออกไปได้ ส่วน NACL เปรียบเสมือน แผ่นกฎที่ตรวจสอบกับแต่ละแพ็กเก็ตโดยไม่มีความทรงจำ การรู้ว่าส่วนใดมีสถานะเป็นหนึ่งในข้อเท็จจริงที่ข้อสอบ SCS-C02 ทดสอบบ่อยที่สุด

ประยุกต์ใช้ความแตกต่างระหว่างการมีสถานะกับการไม่มีสถานะ

กลุ่มความปลอดภัย มีสถานะ: คำขอที่ได้รับอนุญาตจะได้รับการรับส่งข้อมูลตอบกลับโดยอัตโนมัติ ส่วน ACL เครือข่าย ไม่มีสถานะ: แพ็กเก็ตแต่ละรายการจะถูกตัดสินแยกกัน คุณจึงต้องอนุญาต พอร์ตชั่วคราวสำหรับการตอบกลับอย่างชัดเจน ลำดับขาเข้าคือ NACL แล้วจึง SG ส่วนขาออกคือ SG แล้วจึง NACL และทั้งสองส่วนต้องอนุญาต หากการเชื่อมต่อเริ่มต้นได้แต่การตอบกลับล้มเหลว นั่นบ่งชี้ว่าขาดการอนุญาตพอร์ตชั่วคราวในส่วนที่ไม่มีสถานะ