IPsec blokkearje sûnder de Wi-Fi Calling fan 'e telefoan te brekken

It fersyk komt altyd yn deselde foarm: slút IPsec by de râne omdat it tunnels draacht dy't nimmen goedkard hat, en de earste klacht komt fan immen waans telefoan opholden is mei bellen fia Wi-Fi. Beide feiten binne tagelyk wier, en gjin fan beide rjochtfeardiget it loslitten fan de kontrôle. Wat de brânmuorre nedich hat, is in tsjinstútsûndering mei in neamde funksje, in beheinde boarne, dokumintearre bestimmingen en in eigner. Fiif stappen meitsje dêrfan in regel dy't in frjemdling it kommende jier wersjen kin.

Neam de tsjinst foardat jo it protokol neame

In burotelefoan op in SIP-tsjinst en in tastel dat Wi-Fi Calling fan 'e oanbieder docht diele gjin netwurkprofyl, en VoIP as brânmuorreterm beskriuwt gjin fan beide. Poart- en bestimmingsgegevens moatte fan de leveransier of de oanbieder komme dy't de tsjinst driuwt, net fan in ûntholden poartlist fan in oar telefoansysteem. Dat is it ferskil tusken in regel dy't in funksje beskermet en in regel dy't in wurd beskermet.

Apple's poartreferinsje foar tsjinsten listet UDP 500 en 4500 foar Wi-Fi Calling, wat krekt it pear is dat de measte algemiene IPsec-blokkades weilitte. Skriuw de namme fan 'e funksje by dy poarten yn it feroaringsregister. Foegje de ferzje of datum ta fan 'e referinsje dy't jo brûkt hawwe, want leveransiers tabellen wurde bewurke. In regel dy't de tsjinst neamt wêrfoar't er bestiet kin wersjoen wurde; ien dy't in protokolakategory neamt net.

Skriuw de útsûndering as kontrakt, net as geunst

De útsûndering neamt de tastiene funksje, de tastelklassen dy't him brûke, it ferfier dat er nedich hat en de bestimmingen dy't de ferantwurdlike partij dokumintearret. Hy draacht ek in eigner en in wersjendatum, want einpunten fan 'e oanbieder en tastelmodellen feroarje sûnder it brânmuorretiim te berjochtsjen. Jou de wersjen oan in persoan ynstee fan oan in tiimnamme dy't it tiim oerlibje sil. Hâld de bewurding spesifyk genôch dat in frjemdling de regel allinnich út it register ôfliede kin.

Set de útsûndering yn deselde syklus as de rest fan it rânebelied, sadat in oanbieder dy't in bestimming ferpleatst of in float dy't fan tastelmodel wikselet by de wersjen opmurken wurdt en net by de folgjende steuring. Slút de sirkel mei wa't de brutsen oproppen meld hat, want hy is de iennige persoan dy't de repedaasje befêstigje kin sûnder de tunnel wer te iepenjen dy't de blokkade slute moast. Dy befêstiging heart ek yn it register, mei in datum.

In permaninte tastimming dy't as tydlike telefoanrepedaasje bestimpele is, is twa jier letter net te ferdigenjen. In tastimming bûn oan in identifisearre tsjinst hat in ferfaldatum dy't mei opsetsin fernijd wurdt.

Behein de boarne earlik

De útsûndering beheine ta in beheard tastelsegment is wêzentlik sterker as it protokol iepenje foar elke laptop yn it gebou. Kin it netwurk dat segment net identifisearje, skriuw dat dan op ynstee fan te suggerearjen dat de regel de tastellen ken. It goedkeapste goede resultaat is in grins werbrûke dy't al om in oare reden bestiet, sadat de útsûndering in kontrôle erft ynstee fan ien te betinken. Filterje op adres is gjin tastelautentikaasje, en it feroaringsregister moat net oars suggerearje.

In boarneadres of in hardware-adres is gjin bewiis fan in fysike telefoan. Oft ien fan beide betsjutting hat, hinget folslein ôf fan 'e oare kontrôles yn dat segment. As it argumint foar de regel op in MAC-adres berêst, kontrolearje dan wat in brûker tsjinhâldt om it te feroarjen foardat de regel útgiet.

Akseptearje wat in poartregel jo net sizze kin

Poarten identifisearje ferfier-einpunten, net saaklike bedoeling. As in goedkarde beltsjinst en in net-goedkarde tunnel beide oer UDP 4500 geane, skiedt gjin inkel poart-basearre regel se. In regel dy't beweart dat te dwaan liket presys en is it net, wat slimmer is as in regel dy't syn eigen foarm tajout. Dat is in grins fan it meganisme, net in flater fan 'e persoan dy't it skreau.

Sis dat njonken de regel, en keppelje de útsûndering oan hokker hanthavening it netwurk ek hat, lykas tastelbehear of in list fan tastiene bestimmingen. Utterje de útsûndering dan sa nau as it helpmiddel tastean, bygelyks mei nftables-regels dy't it segment en it poartpear neame en de algemiene wegering dêrnei sette:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables beoardielet yn folchoarder en stopet by de earste oerienkomst, dus de beheinde talitting moat boppe de algemiene wegering stean. Draai se om en de útsûndering docht stilweis neat.

Falidearje de funksje en de wegering

Run de goedkarde falidaasje op in gewoane Wi-Fi-oprop, fan 'e tastelklasse wêrfoar't de útsûndering bestiet, en befêstigje dat in útsletten klant noch altyd mislearret. Brûk ûnder gjin omstannichheden needopepen as testgefal. Ynspektearje dan de regel dy't útgien is, want in teller dy't op nul fêstsit is it fluchste bewiis dat de útsûndering nea oerienkaam:

nft -a list chain inet edge forward

Nim in werferbining of in netwurkferoaring op yn 'e test, en werhelje dy fan in kâlde start wêrby't de telefoan him by it netwurk jout ynstee fan al ferbûn te wêzen. As de teller beweecht wylst oproppen noch mislearje, hat it probleem de brânmuorre ferlitten en heart it by de bestimmingslist fan 'e oanbieder.