Bloki IPsec sen rompi la Wi-Fi Calling de la telefono

La peto ĉiam alvenas en la sama formo: fermu IPsec ĉe la rando ĉar ĝi portas tunelojn, kiujn neniu aprobis, kaj la unua plendo venas de iu, kies telefono ĉesis telefoni per Wi-Fi. Ambaŭ faktoj veras samtempe, kaj nek unu nek la alia pravigas forlasi la kontrolon. Kion la fajroŝirmilo bezonas, estas serva escepto kun nomita funkcio, limigita fonto, dokumentitaj celoj kaj respondeculo. Kvin paŝoj transformas tion en regulon, kiun fremdulo povos revizii venontjare.

Nomu la servon antaŭ ol nomi la protokolon

Skribotabla telefono sur SIP-servo kaj poŝaparato, kiu plenumas la Wi-Fi Calling de la operatoro, ne dividas la saman retprofilon, kaj VoIP kiel fajroŝirmila termino priskribas nek unu nek la alian. Pordaj kaj celaj datumoj devas veni de la vendisto aŭ la operatoro, kiu funkciigas la servon, ne de memorita pordolisto apartenanta al alia telefonsistemo. Tio estas la diferenco inter regulo, kiu protektas funkcion, kaj regulo, kiu protektas vorton.

La referenco pri servpordoj de Apple listigas UDP 500 kaj 4500 por Wi-Fi Calling, kio hazarde estas ĝuste la paro, kiun plej multaj tutaj IPsec-blokadoj forĵetas. Skribu la nomon de la funkcio en la ŝanĝregistron apud tiuj pordoj. Aldonu la version aŭ daton de la referenco, kiun vi uzis, ĉar vendistaj tabeloj estas redaktataj. Regulo, kiu nomas la servon, por kiu ĝi ekzistas, povas esti reviziata; unu, kiu nomas protokolan kategorion, ne povas.

Skribu la escepton kiel kontrakton, ne kiel favoron

La escepto deklaras la permesitan funkcion, la aparatajn klasojn, kiuj uzas ĝin, la transporton, kiun ĝi bezonas, kaj la celojn, kiujn dokumentas la respondeca partio. Ĝi ankaŭ portas respondeculon kaj revizidaton, ĉar finpunktoj de la operatoro kaj modeloj de aparatoj ŝanĝiĝas sen sciigi la fajroŝirmilan teamon. Donu la revizion al persono anstataŭ al teama nomo, kiu postvivos la teamon. Tenu la vortumadon sufiĉe specifa, ke fremdulo povu derivi la regulon nur el la registro.

Metu la escepton en la saman ciklon kiel la resto de la randa politiko, por ke operatoro, kiu movas celon, aŭ aparataro, kiu ŝanĝas modelon, estu rimarkita ĉe la revizio anstataŭ ĉe la sekva paneo. Fermu la cirklon kun tiu, kiu raportis la rompitajn alvokojn, ĉar nur tiu povas konfirmi la riparon sen remalfermi la tunelon, kiun la blokado devis fermi. Tiu konfirmo ankaŭ apartenas al la registro, kun dato.

Daŭra permeso etikedita kiel portempa telefonriparo estas nefarebla du jarojn poste. Permeso ligita al identigita servo havas limdaton, kiu renoviĝas intence.

Limigu la fonton honeste

Limigi la escepton al administrata aparatsegmento estas konsiderinde pli forta ol malfermi la protokolon por ĉiu tekkomputilo en la konstruaĵo. Se la reto ne povas identigi tiun segmenton, skribu tion anstataŭ sugesti, ke la regulo konscias pri aparatoj. La plej malmultekosta bona rezulto estas reuzi limon, kiu jam ekzistas pro alia kialo, do la escepto heredas kontrolon anstataŭ inventi unu. Filtrado laŭ adreso ne estas aparata aŭtentikigo, kaj la ŝanĝregistro ne devas sugesti la malon.

Fonta adreso aŭ aparatara adreso ne estas pruvo de fizika poŝaparato. Ĉu unu el ili havas signifon tute dependas de la aliaj kontroloj ene de tiu segmento. Se la argumento por la regulo baziĝas sur MAC-adreso, kontrolu, kio malhelpas uzanton ŝanĝi ĝin, antaŭ ol la regulo liveriĝos.

Akceptu, kion porda regulo ne povas diri al vi

Pordoj identigas transportajn finpunktojn, ne komercan intencon. Kiam aprobita alvoka servo kaj neaprobita tunelo ambaŭ veturas sur UDP 4500, neniu porda regulo apartigas ilin. Regulo, kiu asertas tion fari, aspektas preciza kaj ne estas, kio estas pli malbona ol regulo, kiu konfesas sian propran formon. Tio estas limo de la mekanismo, ne eraro de la persono, kiu ĝin skribis.

Diru tion apud la regulo kaj paru la escepton kun ajna plenumado, kiun la reto havas, ekzemple aparatadministrado aŭ listo de permesitaj celoj. Poste esprimu la escepton kiel eble plej mallarĝe laŭ la ilo, ekzemple per nftables-reguloj, kiuj nomas la segmenton kaj la pordan paron kaj metas la ĝeneralan malpermeson post ili:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables taksas laŭ ordo kaj haltas ĉe la unua kongruo, do la limigita akcepto devas stari super la ĝenerala malpermeso. Inversigu ilin kaj la escepto silente faras nenion.

Validigu la funkcion kaj la malpermeson

Plenumu la aprobitan validigon per ordinara Wi-Fi-alvoko, el la aparata klaso por kiu la escepto ekzistas, kaj konfirmu, ke ekskludita kliento ankoraŭ malsukcesas. Neniam uzu krizalvokojn kiel testokazon sub iuj ajn cirkonstancoj. Poste inspektu la liveritan regulon, ĉar nombrilo frostigita ĉe nulo estas la plej rapida pruvo, ke la escepto neniam kongruis:

nft -a list chain inet edge forward

Inkluzivu rekonekton aŭ retŝanĝon en la teston, kaj ripetu ĝin el malvarma starto, kun la telefono aliĝanta al la reto anstataŭ jam alligita. Se la nombrilo moviĝas dum alvokoj ankoraŭ malsukcesas, la problemo forlasis la fajroŝirmilon kaj apartenas al la cela listo de la operatoro.