Blocio IPsec heb dorri Wi-Fi Calling y ffôn

Mae'r cais bob tro yn dod yn yr un siâp: cau IPsec ar yr ymyl oherwydd ei fod yn cario twneli na chymeradwyodd neb, ac mae'r gŵyn gyntaf yn dod gan rywun y peidiodd ei ffôn â gwneud galwadau dros Wi-Fi. Mae'r ddau ffaith yn wir ar unwaith, ac nid yw'r naill na'r llall yn cyfiawnhau gollwng y rheolaeth. Yr hyn sydd ei angen ar y mur tân yw eithriad gwasanaeth gyda nodwedd a enwir, ffynhonnell gyfyngedig, cyrchfeydd wedi'u dogfennu a pherchennog. Mae pum cam yn troi hynny'n rheol y gall dieithryn ei hadolygu y flwyddyn nesaf.

Enwch y gwasanaeth cyn enwi'r protocol

Nid yw ffôn desg ar wasanaeth SIP a llawdrin sy'n gwneud Wi-Fi Calling y cludwr yn rhannu'r un proffil rhwydwaith, ac nid yw VoIP fel term mur tân yn disgrifio'r naill na'r llall. Rhaid i ddata porthladdoedd a chyrchfeydd ddod gan y gwerthwr neu'r cludwr sy'n gweithredu'r gwasanaeth, nid o restr borthladdoedd a gofir sy'n perthyn i system ffôn arall. Dyna'r gwahaniaeth rhwng rheol sy'n diogelu nodwedd a rheol sy'n diogelu gair.

Mae cyfeirlyfr porthladdoedd gwasanaeth Apple yn rhestru UDP 500 a 4500 ar gyfer Wi-Fi Calling, sef y pâr yn union y mae'r rhan fwyaf o flociau IPsec cyffredinol yn ei ollwng. Ysgrifennwch enw'r nodwedd yn y cofnod newid wrth ymyl y porthladdoedd hynny. Ychwanegwch fersiwn neu ddyddiad y cyfeirlyfr a ddefnyddiwyd gennych, oherwydd mae tablau gwerthwyr yn cael eu golygu. Gellir adolygu rheol sy'n enwi'r gwasanaeth y mae'n bodoli er ei chyfer; ni ellir un sy'n enwi categori protocol.

Ysgrifennwch yr eithriad fel contract, nid fel ffafr

Mae'r eithriad yn nodi'r nodwedd a ganiateir, y dosbarthiadau dyfais sy'n ei defnyddio, y cludiant y mae ei angen a'r cyrchfeydd y mae'r parti cyfrifol yn eu dogfennu. Mae hefyd yn cario perchennog a dyddiad adolygu, oherwydd mae penawdau'r cludwr a modelau llawdrin yn newid heb hysbysu'r tîm mur tân. Rhowch yr adolygiad i berson yn hytrach nag i enw tîm a fydd yn para'n hwy na'r tîm. Cadwch y geiriad yn ddigon penodol fel y gall dieithryn ailddeillio'r rheol o'r cofnod yn unig.

Rhowch yr eithriad ar yr un cylch â gweddill polisi'r ymyl, fel bod cludwr yn symud cyrchfan neu fflyd yn newid model llawdrin yn cael ei sylwi yn yr adolygiad yn hytrach nag yn y toriad nesaf. Caewch y cylch gyda'r sawl a adroddodd am y galwadau wedi torri, gan mai hwy yn unig all gadarnhau'r trwsgl heb ailagor y twnnel yr oedd y bloc i fod i'w gau. Mae'r cadarnhad hwnnw yn perthyn i'r cofnod hefyd, gyda dyddiad.

Mae caniatâd parhaol wedi'i labelu'n drwsgl dros dro ffôn yn anamddiffynadwy ddwy flynedd yn ddiweddarach. Mae gan ganiatâd sy'n gysylltiedig â gwasanaeth a nodir ddod i ben sy'n adnewyddu'n fwriadol.

Cwmpaswch y ffynhonnell yn onest

Mae cyfyngu'r eithriad i segment dyfeisiau a reolir yn sylweddol gryfach na agor y protocol i bob gliniadur yn yr adeilad. Os na all y rhwydwaith adnabod y segment hwnnw, ysgrifennwch hynny yn hytrach nag awgrymu bod y rheol yn ymwybodol o ddyfeisiau. Y canlyniad da rhataf yw ailddefnyddio ffin sydd eisoes yn bodoli am reswm arall, fel bod yr eithriad yn etifeddu rheolaeth yn hytrach na dyfeisio un. Nid yw hidlo yn ôl cyfeiriad yn dilysu dyfeisiau, ac ni ddylai'r cofnod newid awgrymu fel arall.

Nid yw cyfeiriad ffynhonnell na chyfeiriad caledwedd yn brawf o lawdrin ffisegol. Mae a oes ystyr i'r naill neu'r llall yn dibynnu'n gyfan gwbl ar y rheolaethau eraill o fewn y segment hwnnw. Os yw'r ddadl dros y rheol yn seiliedig ar gyfeiriad MAC, gwiriwch beth sy'n atal defnyddiwr rhag ei newid cyn i'r rheol fynd allan.

Derbyniwch yr hyn na all rheol porthladd ei ddweud wrthych

Mae porthladdoedd yn nodi penawdau cludiant, nid bwriad busnes. Pan fo gwasanaeth galwadau cymeradwy a thwnnel heb ei gymeradwyo yn teithio ar yr un UDP 4500, nid oes unrhyw reol porthladd yn eu gwahanu. Mae rheol sy'n honni ei bod yn gwneud hynny yn edrych yn fanwl ac nid yw, sy'n waeth na rheol sy'n cyfaddef ei siâp ei hun. Terfyn ar y mecanwaith yw hyn, nid camgymeriad gan y person a'i hysgrifennodd.

Dywedwch hynny wrth ymyl y rheol, a pharwch yr eithriad â pha bynnag orfodaeth sydd gan y rhwydwaith, fel rheolaeth dyfeisiau neu restr gyrchfeydd a ganiateir. Yna mynegwch yr eithriad mor gul ag y mae'r offeryn yn caniatáu, er enghraifft â rheolau nftables sy'n enwi'r segment a'r pâr porthladdoedd ac yn rhoi'r gwaharddiad cyffredinol ar eu hôl:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

Mae nftables yn gwerthuso mewn trefn ac yn stopio ar y gêm gyntaf, felly rhaid i'r caniatâd cyfyngedig fod uwchben y gwaharddiad cyffredinol. Trowch y ddau drosodd ac ni wnaiff yr eithriad ddim byd yn dawel.

Dilyswch y nodwedd a'r gwaharddiad

Rhedwch y dilysu cymeradwy ar alwad Wi-Fi gyffredin, o'r dosbarth dyfais y mae'r eithriad yn bodoli ar ei gyfer, a chadarnhewch fod cleient a eithriwyd yn dal i fethu. Peidiwch byth â defnyddio galwadau brys fel achos prawf o dan unrhyw amgylchiad. Yna archwiliwch y rheol a anfonwyd, oherwydd rhifydd wedi stondio ar sero yw'r prawf cyflymaf nad yw'r eithriad erioed wedi cyfateb:

nft -a list chain inet edge forward

Cynhwyswch ailgysylltu neu newid rhwydwaith yn y prawf, a'i ailadrodd o gychwyn oer gyda'r ffôn yn ymuno â'r rhwydwaith yn hytrach nag eisoes ynghlwm. Os yw'r rhifydd yn symud tra bod galwadau'n dal i fethu, mae'r broblem wedi gadael y mur tân ac yn perthyn i restr gyrchfeydd y cludwr.