حجب IPsec دون تعطيل خدمة Wi-Fi Calling في الهاتف

يصل الطلب دائمًا بالشكل نفسه: أغلق IPsec عند الحافة لأنه يحمل أنفاقًا لم يوافق عليها أحد، وتأتي أول شكوى من شخص توقف هاتفه عن إجراء المكالمات عبر Wi-Fi. الحقيقتان صحيحتان في الوقت نفسه، ولا واحدة منهما تبرر إسقاط الضابط. ما تحتاجه الجدار الناري هو استثناء خدمة بميزة محددة بالاسم، ومصدر محدود، ووجهات موثقة، ومالك مسؤول. خمس خطوات تحوّل ذلك إلى قاعدة يستطيع شخص غريب مراجعتها في العام القادم.

سمِّ الخدمة قبل أن تسمي البروتوكول

هاتف مكتبي على خدمة SIP وجهاز محمول يؤدّي مكالمات Wi-Fi Calling من الشبكة المشغّلة لا يتشاركان ملف تعريف شبكة واحد، ومصطلح VoIP في الجدار الناري لا يصف أيًا منهما. يجب أن تأتي بيانات المنافذ والوجهات من المورد أو الشبكة المشغّلة للخدمة، لا من قائمة منافذ محفوظة تنتمي إلى نظام هاتف آخر. هذا هو الفرق بين قاعدة تحمي ميزة وقاعدة تحمي كلمة.

يسرد مرجع منافذ الخدمة من Apple المنفذين UDP 500 و4500 لخدمة Wi-Fi Calling، وهما بالضبط الزوج الذي تُسقطه معظم عمليات الحجب الشاملة لـ IPsec. اكتب اسم الميزة في سجل التغيير بجوار هذين المنفذين. أضف إصدار أو تاريخ المرجع الذي استخدمته، لأن جداول الموردين تُعدّل. القاعدة التي تذكر الخدمة التي وُجدت من أجلها يمكن مراجعتها؛ أما التي تذكر فئة بروتوكول فلا.

اكتب الاستثناء كعقد لا كمعروف

يحدد الاستثناء الميزة المسموح بها، وفئات الأجهزة التي تستخدمها، والنقل الذي تحتاجه، والوجهات التي يوثقها الطرف المسؤول. ويحمل أيضًا مالكًا وتاريخ مراجعة، لأن نقاط نهاية الشبكة المشغّلة وطرازات الهواتف تتغير دون إبلاغ فريق الجدار الناري. أسند المراجعة إلى شخص لا إلى اسم فريق سيبقى بعد زوال الفريق. أبقِ الصياغة محددة بما يكفي ليستطيع شخص غريب إعادة اشتقاق القاعدة من السجل وحده.

ضع الاستثناء على الدورة نفسها التي تسير عليها بقية سياسة الحافة، بحيث يُلاحظ انتقال شبكة مشغّلة لوجهة ما أو تبديل أسطول لطراز هاتف في المراجعة لا في الانقطاع التالي. أغلق الحلقة مع من أبلغ عن المكالمات المتعطلة، فهو الشخص الوحيد الذي يمكنه تأكيد الإصلاح دون إعادة فتح النفق الذي كان الحجب يهدف إلى إغلاقه. وينبغي أن يظهر هذا التأكيد في السجل أيضًا، مصحوبًا بتاريخ.

السماح الدائم الموسوم بأنه إصلاح هاتف مؤقت لا يمكن الدفاع عنه بعد عامين. أما السماح المرتبط بخدمة محددة فله تاريخ انتهاء يُجدّد بقرار واعٍ.

حدّد نطاق المصدر بصدق

تقييد الاستثناء بقطاع أجهزة مُدار أقوى جوهريًا من فتح البروتوكول لكل حاسوب محمول في المبنى. وإذا كانت الشبكة لا تستطيع تعريف ذلك القطاع، فاكتب ذلك بدلًا من الإيحاء بأن القاعدة تراعي الأجهزة. أفضل نتيجة بأقل كلفة هي إعادة استخدام حد قائم أصلًا لسبب آخر، فيرث الاستثناء ضابطًا بدلًا من اختراع واحد. الترشيح بالعنوان ليس مصادقة أجهزة، وينبغي ألا يوحي سجل التغيير بغير ذلك.

عنوان المصدر أو عنوان العتاد ليس دليلًا على وجود هاتف مادي. وما إذا كان أي منهما يحمل معنى يتوقف كليًا على الضوابط الأخرى داخل ذلك القطاع. وإذا كان الاستدلال للقاعدة يقوم على عنوان MAC، فتحقق مما يمنع المستخدم من تغييره قبل إطلاق القاعدة.

اقبل ما لا تستطيع قاعدة المنفذ إخبارك به

تحدد المنافذ نقاط نهاية النقل، لا القصد التجاري. عندما تسير خدمة مكالمات معتمدة ونفق غير معتمد على المنفذ UDP 4500 نفسه، فلن تفصلهما أي قاعدة قائمة على المنافذ. القاعدة التي تدعي ذلك تبدو دقيقة وليست كذلك، وهذا أسوأ من قاعدة تعترف بشكلها. وهذا حد من حدود الآلية لا خطأ من كاتب القاعدة.

قل ذلك بجوار القاعدة، واقرن الاستثناء بأي إنفاذ متاح للشبكة، مثل إدارة الأجهزة أو قائمة وجهات مسموح بها. ثم عبّر عن الاستثناء بأضيق صيغة تتيحها الأداة، مثلًا بقواعد nftables تذكر القطاع وزوج المنافذ وتضع المنع العام بعدها:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

يقيّم nftables بالترتيب ويتوقف عند أول تطابق، لذا يجب أن يوضع السماح المحدد النطاق فوق المنع العام. اعكس الترتيب فيصبح الاستثناء بلا أثر بصمت.

تحقق من الميزة ومن المنع

نفّذ التحقق المعتمد على مكالمة Wi-Fi عادية، من فئة الجهاز التي وُجد الاستثناء من أجلها، وتأكد من أن عميلًا مستبعدًا لا يزال يفشل. لا تستخدم مكالمات الطوارئ كحالة اختبار تحت أي ظرف. ثم افحص القاعدة التي أُطلقت، لأن عدّادًا متجمدًا على الصفر هو أسرع دليل على أن الاستثناء لم يطابق أبدًا:

nft -a list chain inet edge forward

أدرج إعادة اتصال أو تغييرًا في الشبكة في الاختبار، وكرّره من بداية باردة حيث ينضم الهاتف إلى الشبكة بدلًا من أن يكون متصلًا بها مسبقًا. وإذا تحرك العدّاد بينما تستمر المكالمات في الفشل، فقد غادرت المشكلة الجدار الناري وأصبحت من شأن قائمة وجهات الشبكة المشغّلة.