Loka IPsec án þess að brjóta Wi-Fi Calling í símanum

Beiðnin kemur alltaf í sama formi: lokaðu IPsec á jaðrinum því það flytur göng sem enginn samþykkti, og fyrsta kvörtunin kemur frá einhverjum sem síminn hætti að hringja í gegnum Wi-Fi. Báðar staðreyndir eru sannar á sama tíma og hvorug réttlætir að sleppa stjórninni. Það sem eldveggurinn þarf er þjónustundartekning með nafngreindum eiginleika, afmörkuðum uppruna, skjalfestum áfangastöðum og ábyrgðarmanni. Fimm skref gera það að reglu sem ókunnugur getur endurskoðað á næsta ári.

Nefndu þjónustuna áður en þú nefnir samskiptaregluna

Borðsími á SIP þjónustu og tæki sem annast Wi-Fi Calling fjarskiptafyrirtækisins deila ekki netprófílnum, og VoIP sem eldveggshugtak lýsir hvorugu. Gögn um gáttir og áfangastaði verða að koma frá söluaðilanum eða fjarskiptafyrirtækinu sem rekur þjónustuna, ekki úr munaðri gáttalista sem tilheyrir annarri símakerfi. Það er munurinn á reglu sem verndar eiginleika og reglu sem verndar orð.

Apple tilvísun um þjónustugáttir telur upp UDP 500 og 4500 fyrir Wi-Fi Calling, sem er einmitt parið sem flestar almennar IPsec blokkanir sleppa. Skrifaðu nafn eiginleikans í breytingaskrána við hlið þessara gátta. Bættu við útgáfu eða dagsetningu tilvísunarinnar sem þú notaðir, því töflur söluaðila eru ritstýrðar. Regla sem nefnir þjónustuna sem hún er til fyrir er hægt að endurskoða; regla sem nefnir flokk samskiptareglu er það ekki.

Skrifaðu undantekninguna sem samning, ekki greiða

Undantekningin tilgreinir leyfðan eiginleika, tækjaflokkana sem nota hann, flutninginn sem hún þarf og áfangastaðina sem ábyrgur aðili skjalfestir. Hún ber einnig ábyrgðarmann og endurskoðunardag, því endapunktar fjarskiptafyrirtækisins og tækjamódel breytast án þess að láta eldveggsteymið vita. Gefðu einstaklingi endurskoðunina frekar en teymisnafni sem mun lifa teymið. Hafðu orðalagið nógu nákvæmt til að ókunnugur geti leitt regluna eingöngu af skránni.

Settu undantekninguna í sama hring og restina af jaðarstefnunni, svo að færsla áfangastaðar hjá fjarskiptafyrirtæki eða skipti á tækjamódeli í flota verði tekið eftir við endurskoðunina en ekki í næstu truflun. Lokaðu hringnum með þeim sem tilkynntu brotnu hringingarnar, því hann er sá eini sem getur staðfest lagfæringuna án þess að opna aftur göngin sem blokkunin átti að loka. Sú staðfesting á líka heima í skránni, með dagsetningu.

Varanlegt leyfi merkt tímabundinni símaviðgerð er óverjandi tveimur árum síðar. Leyfi sem er bundið við auðkennda þjónustu hefur gildistíma sem er endurnýjaður viljandi.

Takmarkaðu upprunann heiðarlega

Að takmarka undantekninguna við stýrðan tækjabút er verulega sterkara en að opna samskiptaregluna fyrir hverri fartölvu í byggingunni. Ef netið getur ekki auðkennt þann bút, skrifaðu það niður í stað þess að gefa í skyn að reglan þekki tækin. Ódýrasta góða niðurstaðan er að endurnýta mörk sem eru þegar til af annarri ástæðu, svo undantekningin erfir stjórn í stað þess að finna hana upp. Síun eftir vistfangi er ekki auðkenning tækja og breytingaskráin á ekki að gefa í skyn hið gagnstæða.

Upprunavistfang eða vistfang vélbúnaðar er ekki sönnun um líkamlegt tæki. Hvort annað hvort hefur merkingu fer alfarið eftir öðrum stjórnum innan þess búts. Ef röksemdin fyrir reglunni hvílir á MAC vistfangi, athugaðu hvað kemur í veg fyrir að notandi breyti því áður en reglan fer út.

Samþykktu það sem gáttarregla getur ekki sagt þér

Gáttir auðkenna endapunkta flutnings, ekki viðskiptafyrirætlan. Þegar samþykkt hringjaþjónusta og ósamþykkt göng fara bæði um sama UDP 4500, aðskilur engin gáttartengd regla þau. Regla sem segist gera það lítur nákvæm út og er það ekki, sem er verra en regla sem viðurkennir eigið form. Þetta er takmörkun aðferðarinnar, ekki mistök þess sem skrifaði hana.

Segðu þetta við hlið reglunnar og paraðu undantekninguna við hvaða framfylgd sem netið hefur, svo sem tækjastjórnun eða lista yfir leyfða áfangastaði. Lýstu því næst undantekningunni eins þröngt og tólið leyfir, til dæmis með nftables reglum sem nefna bútinn og gáttaparinu og setja almennu synjunina á eftir þeim:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables metur í röð og stoppar við fyrstu samsvörun, svo afmarkaða leyfið verður að standa yfir almennu synjuninni. Snúðu þeim við og undantekningin gerir hljóðlaust ekkert.

Staðfestu eiginleikann og synjunina

Keyrðu samþykktu staðfestinguna á venjulegu Wi-Fi símtali, úr þeim tækjaflokki sem undantekningin er til fyrir, og staðfestu að útilokaður biðlarinn mistekst enn. Notaðu aldrei neyðarsímtöl sem prófunartilvik undir neinum kringumstæðum. Skoðaðu svo regluna sem fór út, því teljari fastur á núlli er fljótasta sönnunin um að undantekningin hafi aldrei samsvarað:

nft -a list chain inet edge forward

Láttu endurtengingu eða netbreytingu fylgja með í prófinu og endurtaktu það frá köldu upphafi þar sem síminn tengist netinu í stað þess að vera þegar tengdur. Ef teljarinn hreyfist á meðan símtöl mistekst enn hefur vandamálið yfirgefið eldvegginn og tilheyrir áfangastaðalista fjarskiptafyrirtækisins.