Harangan ang IPsec nang hindi masira ang Wi-Fi Calling ng telepono

Palaging dumarating ang kahilingan sa parehong hugis: isara ang IPsec sa gilid dahil nagdadala ito ng mga lagusan na walang sinumang umaprubahan, at ang unang reklamo ay mula sa taong tumigil nang tumawag ang telepono sa Wi-Fi. Parehong totoo ang dalawang katotohanan nang sabay, at wala sa kanila ang nagbibigay-katuwiran sa pagbitaw sa kontrol. Ang kailangan ng firewall ay isang pagbubukod ng serbisyo na may pinangalanang tampok, limitadong pinagmulan, dokumentadong destinasyon at may-ari. Limang hakbang ang gumagawa nito na tuntunin na masusuri ng estranghero sa susunod na taon.

Pangalanan ang serbisyo bago pangalanan ang protocol

Ang teleponong pangmesa sa serbisyong SIP at ang aparatong gumagawa ng Wi-Fi Calling ng operator ay hindi nagbabahagi ng profile ng network, at ang VoIP bilang termino ng firewall ay hindi naglalarawan sa alinman sa kanila. Ang datos ng port at destinasyon ay dapat magmula sa vendor o operator na nagpapatakbo ng serbisyo, hindi sa natatandaang listahan ng port na pag-aari ng ibang sistema ng telepono. Ito ang pagkakaiba ng tuntuning nagpoprotekta sa isang tampok at tuntuning nagpoprotekta sa isang salita.

Ang sanggunian ng mga port ng serbisyo ng Apple ay naglilista ng UDP 500 at 4500 para sa Wi-Fi Calling, at ito mismo ang pares na iniiwan ng karamihan ng pangkalahatang pagharang ng IPsec. Isulat ang pangalan ng tampok sa talaan ng pagbabago sa tabi ng mga port na iyon. Idagdag ang bersyon o petsa ng sangguniang ginamit mo, dahil binabago ang mga talahanayan ng vendor. Ang tuntuning nagpangalan sa serbisyong pinaglilingkuran nito ay masusuri; ang nagpangalan ng kategorya ng protocol ay hindi.

Isulat ang pagbubukod bilang kontrata, hindi pabor

Isinasaad ng pagbubukod ang pinapayagang tampok, ang mga klase ng aparatong gumagamit nito, ang transportasyong kailangan at ang mga destinasyong dokumentado ng responsableng panig. Mayroon din itong may-ari at petsa ng pagsusuri, dahil nagbabago ang mga dulo ng operator at mga modelo ng aparato nang hindi ipinaaalam sa koponan ng firewall. Ibigay ang pagsusuri sa isang tao sa halip na sa pangalan ng koponang mas matagal pa sa koponan. Panatilihing sapat na tiyak ang pananalita upang maibalik ng estranghero ang tuntunin mula sa talaan lamang.

Ilagay ang pagbubukod sa parehong siklo ng iba pang patakaran sa gilid, upang ang paglipat ng destinasyon ng operator o ang pagpalit ng modelo ng aparato sa fleet ay mapansin sa pagsusuri at hindi sa susunod na pagkaabala. Isara ang siklo sa taong nag-ulat ng sirang tawag, dahil siya lang ang makapagpapatunay ng pagwawasto nang hindi muling binubuksan ang lagusang dapat isara ng pagharang. Kabilang din ang pagpapatunay na iyon sa talaan, may petsa.

Ang permanenteng pahintulot na may tatak na pansamantalang pag-aayos ng telepono ay hindi maipagtatanggol makalipas ang dalawang taon. Ang pahintulot na nakatali sa tinukoy na serbisyo ay may pagtatapos na sadyang binabawi.

Limitahan ang pinagmulan nang tapat

Ang paglilimita ng pagbubukod sa pinamamahalaang segment ng aparato ay mas matibay kaysa pagbubukas ng protocol sa bawat laptop sa gusali. Kung hindi matukoy ng network ang segment na iyon, isulat iyon sa halip na magpahiwatig na kilala ng tuntunin ang mga aparato. Ang pinakamurang magandang resulta ay gamitin muli ang hangganang umiiral na para sa ibang dahilan, para mamanahin ng pagbubukod ang isang kontrol sa halip na mag-imbento ng isa. Ang pagsala ayon sa address ay hindi pagpapatunay ng aparato, at ang talaan ng pagbabago ay hindi dapat magpahiwatig ng kabaligtaran.

Ang address ng pinagmulan o address ng hardware ay hindi patunay ng pisikal na aparato. Kung may kahulugan ang alinman sa kanila ay nakasalalay nang buo sa iba pang kontrol sa loob ng segment na iyon. Kung ang argumento para sa tuntunin ay nakasalig sa address ng MAC, tingnan kung ano ang pumipigil sa gumagamit na palitan ito bago ilabas ang tuntunin.

Tanggapin ang hindi masasabi ng tuntunin ng port

Tinutukoy ng mga port ang mga dulo ng transportasyon, hindi ang layunin ng negosyo. Kapag ang aprubadong serbisyo ng tawag at ang hindi aprubadong lagusan ay parehong dumadaan sa iisang UDP 4500, walang tuntuning nakabatay sa port ang naghihiwalay sa kanila. Ang tuntuning nagsasabing kaya nitong gawin iyon ay mukhang tumpak at hindi, na mas masama kaysa tuntuning umamin sa sariling hugis. Ito ay hangganan ng mekanismo, hindi pagkakamali ng sumulat.

Sabihin iyon sa tabi ng tuntunin, at ipares ang pagbubukod sa anumang pagpapatupad na mayroon ang network, tulad ng pamamahala ng aparato o listahan ng pinapayagang destinasyon. Pagkatapos ay ipahayag ang pagbubukod nang pinakamakitid na pinapayagan ng kasangkapan, halimbawa sa mga tuntunin ng nftables na nagpangalan sa segment at pares ng port at naglalagay ng pangkalahatang pagtanggi pagkatapos nila:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

Sinusuri ng nftables nang sunud-sunod at humihinto sa unang tugma, kaya ang limitadong pagpayag ay dapat nasa itaas ng pangkalahatang pagtanggi. Baliktarin ang dalawa at tahimik na walang gagawin ang pagbubukod.

Patunayan ang tampok at ang pagtanggi

Patakbuhin ang aprubadong pagpapatunay sa ordinaryong tawag sa Wi-Fi, mula sa klaseng aparatong may pagbubukod, at tiyakin na nabibigo pa rin ang ibinukod na kliyente. Huwag kailanman gamitin ang mga tawag sa emergency bilang kaso ng pagsubok sa anumang pagkakataon. Pagkatapos ay siyasatin ang tuntuning inilabas, dahil ang panumbas na natigil sa sero ay ang pinakamabilis na patunay na hindi kailanman tumugma ang pagbubukod:

nft -a list chain inet edge forward

Isama ang muling pagkonekta o pagbabago ng network sa pagsubok, at ulitin ito mula sa malamig na simula kung saan sumasali ang telepono sa network sa halip na nakakonekta na. Kung gumagalaw ang panumbas habang nabibigo pa rin ang mga tawag, umalis na ang problema sa firewall at kabilang ito sa listahan ng destinasyon ng operator.