Ix-xiri ta' IPsec mingħajr ma tinkiser il-Wi-Fi Calling tat-telefon

It-talba dejjem tiġi fl-istess forma: agħlaq l-IPsec fuq il-lemin għax iġorr mini li ħadd ma approva, u l-ewwel ilment ġej minn xi ħadd li t-telefon tiegħu waqaf jagħmel sejħat fuq Wi-Fi. Iż-żewġ fatti huma veri fl-istess ħin, u ħadd minnhom ma jiġġustifika li tħalli l-kontroll. Dak li teħtieġ il-firewall huwa eċċezzjoni tas-servizz b'karatteristika msemmija, sors limitat, destinazzjonijiet dokumentati u proprjetarju. Ħames passi jibdlu dan f'regola li barrani jista' jirrevedi s-sena d-dieħla.

Semmi s-servizz qabel ma ssemmi l-protokoll

Telefon tal-mejda fuq servizz SIP u apparat li jagħmel il-Wi-Fi Calling tal-operatur ma jaqsmu l-istess profil tan-netwerk, u VoIP bħala terminu tal-firewall ma jiddeskrivi lil ħadd minnhom. Id-dejta dwar ports u destinazzjonijiet trid tiġi mill-fornitur jew mill-operatur li jmexxi s-servizz, mhux minn lista tal-ports miftakrin ta' sistema telefonika oħra. Din hija d-differenza bejn regola li tipproteġi karatteristika u regola li tipproteġi kelma.

Ir-referenza tal-ports tas-servizz tal-Apple telenka UDP 500 u 4500 għall-Wi-Fi Calling, li hija eżattament il-par li l-biċċa l-kbira tal-blokki totali tal-IPsec iwarrbu. Ikteb l-isem tal-karatteristika fir-rekord tal-bidla ħdejn dawk il-ports. Żid il-verżjoni jew id-data tar-referenza li użajt, għax it-tabelli tal-fornituri jiġu editjati. Regola li ssemmi s-servizz li għalih teżisti tista' tiġi riveduta; waħda li ssemmi kategorija ta' protokoll le.

Ikteb l-eċċezzjoni bħala kuntratt, mhux bħala pjaċir

L-eċċezzjoni tiddikjara l-karatteristika permessa, il-klassijiet tal-apparati li jużawha, it-trasport li teħtieġ u d-destinazzjonijiet li tiddokumenta l-parti responsabbli. Ġġorr ukoll proprjetarju u data tar-reviżjoni, għax il-punti tat-tmiem tal-operatur u l-mudelli tal-apparati jinbidlu mingħajr ma javżaw lit-tim tal-firewall. Agħti r-reviżjoni lil persuna minflok lil isem ta' tim li se jibqa' ħaj aktar mit-tim. Żomm il-kliem speċifiku biżżejjed biex barrani jista' jerġa' jikseb ir-regola mir-rekord biss.

Qiegħed l-eċċezzjoni fl-istess ċiklu bħall-bqija tal-politika tal-lemin, sabiex operatur li jċaqlaq destinazzjoni jew flotta li tibdel mudell ta' apparat tiġi nnutata fir-reviżjoni u mhux fit-tfixkil li jmiss. Agħlaq iċ-ċirku ma' min irrapporta s-sejħat miksura, għax huwa l-unika wieħed li jista' jikkonferma t-tiswija mingħajr ma jerġa' jiftaħ il-mina li l-blokk kellu jagħlaq. Dik il-konferma tappartjeni wkoll għar-rekord, b'data.

Permess permanenti mmarkat bħala tiswija temporanja tat-telefon mhuwiex difendibbli sentejn wara. Permess marbut ma' servizz identifikat għandu skadenza li tiġġedded apposta.

Illimita s-sors b'onestà

Li tillimita l-eċċezzjoni għal segment ta' apparati mmaniġġjati huwa ferm aktar b'saħħtu milli tiftaħ il-protokoll għal kull laptop fil-bini. Jekk in-netwerk ma jistax jidentifika dak is-segment, ikteb dan minflok ma tissuġġerixxi li r-regola taf l-apparati. L-aħjar riżultat bl-inqas spejjeż huwa li terġa' tuża fruntiera li diġà teżisti għal raġuni oħra, hekk l-eċċezzjoni tiret kontroll minflok ma toħloq wieħed. Il-filtrazzjoni bl-indirizz mhijiex awtentikazzjoni tal-apparat, u r-rekord tal-bidla m'għandux jissuġġerixxi mod ieħor.

Indirizz tas-sors jew indirizz tal-ħardwer mhuwiex prova ta' apparat fiżiku. Jekk xi wieħed minnhom għandux tifsira jiddependi kompletament fuq il-kontrolli l-oħra f'dak is-segment. Jekk l-argument għar-regola jistrieħ fuq indirizz MAC, iċċekkja x'jimpedixxi lill-utent li jibdlu qabel ma toħroġ ir-regola.

Aċċetta dak li regola tal-port ma tistax tgħidlek

Il-ports jidentifikaw punti tat-tmiem tat-trasport, mhux intenzjoni kummerċjali. Meta servizz tas-sejħat approvat u mina mhux approvata jgħaddu t-tnejn fuq l-istess UDP 4500, ebda regola bbażata fuq il-port ma tifridhom. Regola li tgħid li tagħmel dan tidher preċiża u mhijiex, li huwa agħar minn regola li tammetti l-forma tagħha. Dan huwa limitu tal-mekkaniżmu, mhux żball ta' min kitebha.

Għid dan ħdejn ir-regola, u qabbad l-eċċezzjoni ma' kull infurzar li għandu n-netwerk, bħall-immaniġġjar tal-apparati jew lista ta' destinazzjonijiet permessi. Imbagħad esprimi l-eċċezzjoni kemm jista' jkun dejqa, pereżempju b'regoli nftables li jsemmu s-segment u l-par tal-ports u jqiegħdu ċ-ċaħda ġenerali warajhom:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables jivvaluta fl-ordni u jieqaf mal-ewwel qbil, għalhekk il-permess limitat irid ikun fuq iċ-ċaħda ġenerali. Aqleb it-tnejn u l-eċċezzjoni fl-istess waqt ma tagħmel xejn.

Ivvalida l-karatteristika u ċ-ċaħda

Wettaq il-validazzjoni approvata fuq sejħa Wi-Fi ordinarja, mill-klassi tal-apparat li għaliha teżisti l-eċċezzjoni, u ikkonferma li klijent eskluż xorta jfalli. Qatt u taħt ebda ċirkostanza tuża sejħat tal-emerġenza bħala każ tat-test. Imbagħad spezzjona r-regola li ħarġet, għax numru li jibqa' weqfin fuq iż-żero huwa l-egħġel prova li l-eċċezzjoni qatt ma qabblet:

nft -a list chain inet edge forward

Daħħal qabla mill-ġdid jew bidla fin-netwerk fit-test, u erġa' għamilha minn bidu kiesaħ b'telefon li jingħaqad man-netwerk minflok ma jkun diġà mqabbad. Jekk in-numru jiċċaqlaq waqt li s-sejħat xorta jfallu, il-problema ħarġet mill-firewall u tappartjeni għal-lista tad-destinazzjonijiet tal-operatur.