Brannmurer: stateful filtrering og macOS-alternativer

En brannmurs jobb høres enkel ut: Slipp god trafikk gjennom, hold dårlig trafikk ute. Den interessante delen er hvordan den bestemmer, og på hvilket nivå. Denne leksjonen dekker stateful filtrering som et konsept, og deretter de spesifikke, separate verktøyene macOS tilbyr, som hver arbeider på et annet lag.

Stateful filtrering: husker samtalen

En tidlig, "statsløs" brannmur inspiserer hver pakke isolert mot et fast sett med regler. En stateful brannmur holder i stedet oversikt over åpne tilkoblinger, og som Cloudflares nettverksordliste beskriver det, "lagrer informasjon om åpne tilkoblinger og bruker denne informasjonen til å analysere innkommende og utgående trafikk, i stedet for å inspisere hver pakke" fra bunnen av. I praksis betyr dette at en stateful brannmur kan holde porter effektivt lukket til en tilkobling du initierte ber om svar, og deretter la det spesifikke svaret komme inn igjen, uten å åpne porten for noe annet. Nesten alle forbruker- og operativsystembrannmurer som er i bruk i dag, inkludert macOS, er stateful.

Innkommende vs utgående filtrering

Innkommende filtrering kontrollerer tilkoblinger som ankommer maskinen, uoppfordret, utenfra: noen eller noe prøver å nå en tjeneste som kjører på den. Utgående (utgående) filtrering kontrollerer tilkoblinger maskinen selv, eller en app på den, prøver å lage utover. De to har forskjellige grunner. Inngående filtrering stopper en maskin fra å bli nådd og undersøkt i utgangspunktet. Utgangsfiltrering er viktig etter at noe har gått galt: skadelig programvare som kommer inn på en maskin må fortsatt ringe hjem, motta instruksjoner eller sende ut data, og hver og en av disse trenger en utgående tilkobling. En maskin med en sterk inngående brannmur og ingen utgangsfiltrering i det hele tatt kan fortsatt lekke alt på den, én utgående tilkobling om gangen.

Hva macOS faktisk gir deg

Den praktiske lesningen av denne tabellen er at macOS sin innebygde, støttede brannmur (applikasjonsbrannmuren) dekker inngående tilkoblinger godt, men sier ingenting om hva som forlater maskinen. pf kan teknisk sett gjøre begge deler, men det er et skriptbasert verktøy på lavt nivå som er rettet mot administratorer som er komfortable med å redigere konfigurasjonsfiler og resonnere om regelrekkefølge, ikke noe dette kurset vil gå gjennom konfigurering av, siden en feil i et håndskrevet regelsett stille kan mislykkes med å åpne eller låse nettverkstilgang helt, og Apple behandler det ikke som en applikasjon. Brannmur. Fellesskapsforsterkende veiledninger som publiserer ferdiglagde pf regelsett eller skript som trekker inn tredjeparts IP-blokkeringslister, går lenger enn dette kurset anbefaler: disse listene må stoles på og holdes oppdatert av noen, og en ødelagt oppdatering kan bryte tilkoblingen uten noen klar feilmelding.

Det gapet, en innebygd brannmur for innkommende kun uten enkel, støttet måte å se eller kontrollere utgående tilkoblinger per app på, er akkurat hva Apples Network Extension-rammeverk eksisterer for å la tredjepartsutviklere fylle, med brukerens eksplisitte tillatelse ved installasjonen.