Brandväggar: stateful filtrering och macOS-alternativ

En brandväggs jobb låter enkelt: släpp igenom bra trafik, håll dålig trafik ute. Det intressanta är hur det bestämmer, och på vilken nivå. Den här lektionen tar upp tillståndsfiltrering som ett koncept, och sedan de specifika, separata verktyg som macOS erbjuder, som vart och ett arbetar på ett annat lager.

Stateful filtrering: komma ihåg konversationen

En tidig, "statslös" brandvägg inspekterar varje paket isolerat mot en fast uppsättning regler. En stateful brandvägg håller istället reda på öppna anslutningar, och som Cloudflares nätverksordlista beskriver det, "sparar information om öppna anslutningar och använder denna information för att analysera inkommande och utgående trafik, snarare än att inspektera varje paket" från början. I praktiken innebär detta att en tillståndsbestämd brandvägg kan hålla portar effektivt stängda tills en anslutning du initierade ber om ett svar, och sedan släppa in det specifika svaret igen utan att öppna porten för något annat. Nästan alla konsument- och operativsystembrandväggar som används idag, inklusive macOS, är tillståndsfulla.

Inkommande vs utgående filtrering

Inkommande filtrering kontrollerar anslutningar som anländer till maskinen, oinbjudna, utifrån: någon eller något som försöker nå en tjänst som körs på den. Utgående (utgående) filtrering styr anslutningar som maskinen själv, eller en app på den, försöker göra utåt. De två spelar roll av olika anledningar. Inkommande filtrering hindrar en maskin från att nås och undersökas i första hand. Utgående filtrering är viktig efter att något har gått fel: skadlig programvara som kommer in på en maskin behöver fortfarande ringa hem, ta emot instruktioner eller skicka ut data, och var och en av dessa behöver en utgående anslutning. En maskin med en stark inkommande brandvägg och ingen egress-filtrering alls kan fortfarande läcka allt på den, en utgående anslutning i taget.

Vad macOS faktiskt ger dig

Den praktiska läsningen av den här tabellen är att macOS:s inbyggda, stödda brandvägg (applikationsbrandväggen) täcker inkommande anslutningar väl men säger ingenting om vad som lämnar maskinen. pf kan tekniskt sett göra båda, men det är ett skriptbaserat verktyg på låg nivå som syftar till att administratörer bekvämt kan redigera konfigurationsfiler och resonera om regelordning, inte något som den här kursen kommer att gå igenom konfigurationen av, eftersom ett misstag i en handskriven regeluppsättning tyst kan misslyckas med att öppna eller låsa ut nätverksåtkomst helt, och Apple behandlar det inte som att det i första hand ställer in applikationen. Brandvägg. Community-härdande guider som publicerar färdiga pf regeluppsättningar eller skript som drar in tredjeparts IP-blockeringslistor går längre än den här kursen rekommenderar: dessa listor måste litas på och hållas uppdaterade av någon, och en trasig uppdatering kan bryta anslutningen utan något tydligt felmeddelande.

Det gapet, en inbyggd brandvägg för inkommande endast utan ett enkelt sätt som stöds för att se eller kontrollera utgående anslutningar per app, är precis vad Apples nätverksextensionsramverk finns för att låta tredjepartsutvecklare fylla, med användarens uttryckliga tillåtelse vid installationen.