Firewall stateful vs stateless: в чём разница и что выбрать
Настроить мониторинг за 30 секунд
Надежные оповещения о даунтаймах. Без ложных срабатываний
Надежные оповещения о даунтаймах. Без ложных срабатываний
Почему вообще есть два типа firewall?
Firewall — это механизм фильтрации сетевого трафика.
Его задача — решить:
Но главный вопрос — на основании чего принимается решение.
Именно здесь и появляется различие между stateless и stateful фильтрацией.
Что это такое
Stateless firewall (без сохранения состояния) анализирует каждый пакет отдельно.
Он не «помнит», что происходило раньше.
Решение принимается только на основе:
Каждый пакет — независим.
Пример
Правило:
Stateless firewall просто проверяет пакет:
Если dst_port = 443 → пропускаем.
Он не проверяет:
Плюсы stateless
Минусы stateless
Stateful firewall отслеживает состояние соединений.
Он хранит таблицу состояний (connection tracking table).
Он знает:
Как это работает
Если приходит пакет, не соответствующий известному состоянию — он блокируется.
Пример (Linux iptables / nftables)
Разрешить только established-соединения:
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTЭто значит:
Stateless так сделать не сможет.
Про настройку iptables в Linux у нас также есть статья.
Плюсы stateful
Минусы stateful
Stateful firewall хранит для каждого соединения:
Если соединений 1 000 000 — таблица должна это выдержать.
Иначе возможны:
Stateless часто применяется там, где важна максимальная производительность.
NAT невозможен без отслеживания состояния.
Stateless быстрее, потому что:
Stateful требует:
На современных системах разница не критична,
но при миллионах соединений это становится важным фактором.
UDP не имеет handshake.
Stateful firewall всё равно создаёт псевдо-состояние:
Это делает поведение более безопасным.
Выбирайте stateless если:
Выбирайте stateful если:
В 95% продакшен-сценариев используется stateful.
Stateless — это скорее базовый уровень или высоконагруженная инфраструктура.
Часто применяется схема:
Это даёт баланс производительности и безопасности.
Stateless firewall:
Stateful firewall:
Если сомневаетесь — выбирайте stateful.
Но всегда учитывайте масштаб, нагрузку и архитектуру сети.