IPsec blockéieren, ouni d'Wi-Fi Calling vum Telefon ze briechen

D'Ufro kënnt ëmmer an der selwechter Form: maacht IPsec un der Edge zou, well et Tunnelen dréit, déi keen approuvéiert huet, an déi éischt Plainte kënnt vun engem, deem säin Telefon opgehalen huet, iwwer Wi-Fi ze ruffen. Béid Fakten sinn zur selwechter Zäit wouer, an keen vun deenen zwee rechtfertegt, d'Kontroll fale ze loossen. Wat d'Firewall brauch, ass eng Déngschtleeschtungsausnam mat enger benannter Funktioun, enger begrenzter Quell, dokumentéierten Ziler an engem Besëtzer. Fënnef Schrëtt maachen doraus eng Regel, déi en Frieme nächst Joer iwwerpréiwe kann.

Nennt den Déngscht, ier Dir de Protokoll nennt

En Desktelefon op engem SIP-Déngscht an en Apparat, dee Wi-Fi Calling vum Bedreiwer mécht, deelen net deeselwechte Netzwierkprofil, a VoIP als Firewallbegrëff beschreift keen vun deenen zwee. Port- an Zildaten mussen vum Fournisseur oder Bedreiwer kommen, deen den Déngscht bedreift, net aus enger erënnterer Portlëscht vun engem aneren Telefonsystem. Dat ass den Ënnerscheed tëscht enger Regel, déi eng Funktioun schützt, an enger Regel, déi e Wuert schützt.

Dem Apple seng Referenz vun den Déngschtporten listet UDP 500 an 4500 fir Wi-Fi Calling, wat genee dee Paar ass, deen déi meescht allgemeng IPsec-Blockaden ewechloossen. Schreift den Numm vun der Funktioun an den Ännerungsrot nieft dëse Porten. Füügt d'Versioun oder den Datum vun der Referenz bäi, déi Dir benotzt hutt, well Fournisseurtabellen editéiert ginn. Eng Regel, déi den Déngscht nennt, fir deen se existéiert, kann iwwerpréift ginn; eng, déi eng Protokollkategorie nennt, net.

Schreift d'Ausnam als Kontrakt, net als Gefällegkeet

D'Ausnam gëtt déi erlaabt Funktioun un, d'Apparatsklassen, déi se benotzen, den Transport, deen se brauch, an d'Ziler, déi déi responsabel Partei dokumentéiert. Si dréit och e Besëtzer an en Datum vun der Iwwerpréiwung, well d'Endpunkte vum Bedreiwer an d'Apparatsmodeller sech änneren, ouni d'Firewallsteam ze informéieren. Gitt d'Iwwerpréiwung enger Persoun amplaz engem Teamnumm, deen d'Team iwwerlieft. Halt d'Formuléierung spezifesch genuch, datt en Frieme d'Regel nëmmen aus dem Rot ofleede kann.

Setzt d'Ausnam an deeselwechten Zyklus wéi de Rescht vun der Edge-Politik, sou datt e Bedreiwer, deen en Zil verréckelt, oder eng Flott, déi den Apparatsmodell wiesselt, bei der Iwwerpréiwung opfält an net beim nächsten Ausfall. Maacht de Krees mat deene zou, déi déi futti Riffer gemellt hunn, well se déi eenzeg sinn, déi de Fix confirméiere kënnen, ouni den Tunnel nees opzemaachen, deen d'Blockade sollt zoumaachen. Dës Confirmatioun gehéiert och an de Rot, mat engem Datum.

Eng permanent Erlabnes, déi als temporäre Telefonsfix etikettéiert ass, ass zwee Joer méi spéit net ze verdeedegen. Eng Erlabnes, déi un en identifizéierten Déngscht gebonnen ass, huet en Ofleefdatum, deen bewosst erneiert gëtt.

Begrenzt d'Quell éierlech

D'Ausnam op e verwaltent Apparatesegment ze begrenzen ass wesentlech méi staark wéi de Protokoll fir all Laptop am Gebai opzemaachen. Wann d'Netzwierk d'Segment net identifizéiere kann, schreift dat op, amplaz ze implizéieren, d'Regel kennt d'Apparater. Dat billigst gutt Resultat ass eng Grenz ze benotzen, déi scho aus engem aneren Grond existéiert, sou datt d'Ausnam eng Kontroll ierft, amplaz eng ze erfinden. Filtréieren no Adress ass keng Apparatsauthentifikatioun, an den Ännerungsrot sollt net anescht implizéieren.

Eng Quelladress oder eng Hardwareadress ass kee Beweis fir en physeschen Apparat. Ob eng vun deenen zwee Bedeitung huet, hänkt komplett vun den aneren Kontrollen an deem Segment of. Wann d'Argument fir d'Regel op enger MAC-Adress berout, préift, wat en Notzer dorun hindert, se z'änneren, ier d'Regel erausgeet.

Akzeptéiert, wat eng Portregel Iech net ka soen

Porten identifizéieren Transportendpunkten, net Geschäftsabsicht. Wann en approuvéierten Ruffdéngscht an en net approuvéierten Tunnel allebéid iwwer UDP 4500 lafen, trennt se keng portbaséiert Regel. Eng Regel, déi behaapt, dat ze maachen, gesäit präzis aus an ass et net, wat méi schlëmm ass wéi eng Regel, déi hir eege Form zougëtt. Dat ass eng Limitt vum Mechanismus, net e Fehler vun der Persoun, déi en geschriwwen huet.

Sot dat nieft der Regel, a paart d'Ausnam mat där Duerchsetzung, déi d'Netzwierk huet, wéi Apparatsmanagement oder eng Lëscht vun erlaabten Ziler. Dann dréckt d'Ausnam sou enk aus, wéi d'Instrument et erlaabt, zum Beispill mat nftables-Regelen, déi d'Segment an de Portpaar nennen an d'allgemeng Oflehnung duerno setzen:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables bewäert a Reiefolleg an hält bei der éischter Iwwereneestëmmung un, dofir muss d'begrenzt Erlaabnes iwwer der allgemenger Oflehnung stoen. Dréit déi zwee ëm, an d'Ausnam mécht stëll näischt.

Validéiert d'Funktioun an d'Oflehnung

Féiert déi approuvéiert Validéierung op engem gewéinleche Wi-Fi-Ruff duerch, aus der Apparatsklass, fir déi d'Ausnam existéiert, a confirméiert, datt en ausgeschlossene Client nach ëmmer feelt. Benotzt ënner kengen Ëmstänn Noutruff als Testfall. Dann inspectéiert d'Regel, déi erausgaang ass, well en Zähler, deen op Null stoe bleift, de séierste Beweis ass, datt d'Ausnam ni entsprach huet:

nft -a list chain inet edge forward

Huelt eng Neiverbindung oder eng Netzwierkännerung an den Test op, a widderhuelt en aus engem kale Start, wou sech den Telefon an d'Netzwierk ageschreift, amplaz schonn ugeschloss ze sinn. Wann den Zähler sech beweegt, während Riffer nach ëmmer feelen, huet de Problem d'Firewall verlooss an gehéiert op d'Zillëscht vum Bedreiwer.