Durum Bilgili ve Durum Bilgisiz Davranış

Güvenlik grupları ile ağ ACL'leri arasındaki en temel fark durum takibidir. Güvenlik grupları durum bilgilidir; ağ ACL'leri ise durum bilgili değildir. Bu tek özellik, kuralları yazma, düşen trafiği sorun giderme ve dönüş paketlerini değerlendirme biçiminizi değiştirir.

Durum bilgili olmak, güvenlik duvarının izin verdiği her bağlantıyı hatırlaması demektir. Bir güvenlik grubu gelen bir isteğe izin verdiğinde, bağlantıyı bir durum tablosunda izleyerek eşleşen yanıtın dışarı çıkmasına otomatik olarak izin verir. Dönüş trafiği için hiçbir zaman ayrıca kural yazmazsınız.

Durum bilgili olmamak, güvenlik duvarının önceki paketleri hatırlamadan her paketi bağımsız olarak değerlendirmesi demektir. Gelen bir isteğe izin veren ağ ACL'si yanıtına otomatik olarak izin vermez. Dönüş yönü için ayrı bir kural eklemelisiniz; aksi takdirde yanıt düşürülür.

Bir istemci, web sunucunuza 443 portundan bağlanır. Sunucu, istemciye yüksek numaralı bir geçici porttan 443 portuna yanıt verir. Güvenlik grubuyla bu yanıt otomatik olarak izin alır. NACL ile geçici port aralığı için giden izin kuralına ihtiyaç duyarsınız; aksi takdirde bağlantı takılı kalmış gibi görünür ve başarısız olur.

NACL'nin giden kurallarında geçici portları unutmak, durum bilgili olmayan yapılarla ilgili en yaygın hatadır. İstek sunucuya ulaşır, ancak yanıt sessizce reddedilir. Özel NACL'lerde giden yanıtlar için ilgili geçici port aralığına (genellikle 1024–65535) her zaman izin verin.

Trafik açıklanamayan bir şekilde engellendiğinde, belirtiyle eşleşen katmanı denetleyin. Bağlantı kuruluyor ancak yanıtlar başarısız oluyorsa geçici portları eksik olan durum bilgili olmayan bir NACL'den şüphelenin. Hiçbir bağlantı kurulamıyorsa eksik bir güvenlik grubu izin kuralından veya istek portunda bir NACL reddetme kuralından şüphelenin.

Bir kaynağa gelen trafikte, önce NACL değerlendirilir ve bu işlem alt ağ kenarında yapılır; ardından ENI üzerindeki güvenlik grubu değerlendirilir. Giden trafikte önce güvenlik grubu, ardından NACL denetlenir. Trafiğin geçmesi için her ikisinin de izin vermesi gerekir; dolayısıyla herhangi bir katman bir akışı sessizce engelleyebilir.

Durum bilgili yapı, güvenlik gruplarını yönetmeyi kolaylaştırır ve günlük kullanılan araç olmalarının nedenidir. Amacınızı bir kez tanımlarsınız ve dönüş trafiği kendiliğinden çalışır. Durum bilgili olmayan NACL'ler kuralların iki katını ve dikkatli port hesaplamasını gerektirir; bu nedenle seçici olarak kullanılırlar.

Durum bilgili olmamak bazı durumlarda avantajdır. NACL'ler her paketi tek başına değerlendirdiğinden, bir reddetme kuralı trafiği tek yönde engeller ve diğer yönü etkilemez; ayrıca kurulmuş bağlantılar dahil tüm bağlantılara anında uygulanır. Bu, NACL'leri olaylar sırasında kesin ve anında engellemeler için etkili kılar.

Bir güvenlik grubu kuralını değiştirmek, izlenen mevcut bağlantılara yeni paketler için uygulanır; ancak durum takibi bazı akışları kısa bir süre canlı tutabilir. Durum bilgili olmayan bir NACL reddetme kuralı ise herhangi bir bağlantının bir sonraki paketinden itibaren etkili olur. Etkin bir saldırganı sınırlarken bu anında uygulanma özelliği önemlidir.

Güvenlik grubunu, içeri almasına izin verdiği kişileri hatırlayan ve onları dışarı çıkarken yeniden geçiren akıllı bir kapı görevlisi olarak; NACL'yi ise belleği olmayan ve her pakette denetlenen bir kural sayfası olarak düşünün. Hangisinin durum bilgili olduğunu bilmek SCS-C02 sınavında en çok test edilen bilgilerden biridir.

Durum bilgili ve durum bilgili olmayan ayrımını uygulayın.

Güvenlik grupları durum bilgilidir: izin verilen isteklerin dönüş trafiğine otomatik olarak izin verilir. Ağ ACL'leri durum bilgili değildir: her paket tek başına değerlendirilir; bu nedenle yanıtlar için geçici portlara açıkça izin vermelisiniz. Gelen trafik sırası NACL, ardından SG; giden trafik sırası SG, ardından NACL'dir ve her ikisinin de izin vermesi gerekir. Kurulan bağlantıların yanıtları başarısız oluyorsa bu, geçici portlarda durum bilgili olmayan bir yapı açığına işaret eder.