Блакаванне IPsec без парушэння Wi-Fi Calling на тэлефоне

Запыт заўсёды прыходзіць у адной і той жа форме: зачыніце IPsec на краі, бо ён нясе тунэлі, якія ніхто не ўзгадніў, а першая скарга прыходзіць ад чалавека, чый тэлефон перастаў здзяйсняць званкі праз Wi-Fi. Абодва факты праўдзівыя адначасова, і ні адзін з іх не апраўдвае адмовы ад кантролю. Што патрэбна сістэме аховы, дык гэта выключэнне для сэрвісу з названай функцыяй, абмежаванай крыніцай, дакументаванымі прызначэннямі і ўладальнікам. Пяць крокаў ператвараюць гэта ў правіла, якое старонні чалавек зможа перагледзець праз год.

Спачатку назавіце сэрвіс, а ўжо потым пратакол

Настольны тэлефон на сэрвісе SIP і мабільны апарат, які выконвае Wi-Fi Calling аператара, не маюць агульнага сеткавага профілю, і VoIP як тэрмін файрвола не апісвае ні аднаго з іх. Дадзеныя пра парты і прызначэнні павінны паходзіць ад пастаўшчыка або аператара, які забяспечвае сэрвіс, а не з прыгаданага спісу партоў іншай тэлефоннай сістэмы. Гэта розніца паміж правілам, якое абараняе функцыю, і правілам, якое абараняе слова.

Даведнік партоў сэрвісаў ад Apple пералічвае UDP 500 і 4500 для Wi-Fi Calling, а гэта менавіта тая пара, якую скідвае большасць суцэльных блакіровак IPsec. Запішыце назву функцыі ў запіс пра змену побач з гэтымі партамі. Дадайце версію або дату даведніка, які вы выкарысталі, бо табліцы пастаўшчыкоў рэдагуюцца. Правіла, якое называе сэрвіс, дзеля якога існуе, можна перагледзець; тое, што называе катэгорыю пратакола, нельга.

Напішыце выключэнне як дагавор, а не як паслугу

Выключэнне вызначае дазволеную функцыю, класы прылад, якія яе выкарыстоўваюць, транспарт, які ёй патрэбны, і прызначэнні, якія дакументуе адказная асоба. Яно таксама мае ўладальніка і дату перагляду, бо канчатковыя пункты аператара і мадэлі апаратаў змяняюцца, не паведамляючы камандзе файрвола. Прызначце перагляд канкрэтнай асобе, а не назве каманды, якая перажыве самую каманду. Трымайце фармулёўку дастаткова дакладнай, каб старонні чалавек мог аднавіць правіла з аднаго запісу.

Пастаўце выключэнне ў той жа цыкл, што і астатняя палітыка краю, каб перанос прызначэння аператарам або замена мадэлі апарата ў парку была заўважана падчас перагляду, а не падчас наступнага збою. Замкніце цыкл з тым, хто паведаміў пра зламаныя званкі, бо толькі ён можа пацвердзіць выпраўленне, не адкрываючы зноў тунэль, які павінна была зачыніць блакіроўка. Гэтае пацверджанне таксама павінна быць у запісе, з датай.

Пастаянны дазвол, пазначаны як часовы рамонт тэлефона, праз два гады неабараняльны. Дазвол, прывязаны да пэўнага сэрвісу, мае тэрмін дзеяння, які працягваюць свядома.

Абмяжуйце крыніцу сумленна

Абмежаванне выключэння кіраваным сегментам прылад істотна мацнейшае за адкрыццё пратакола для кожнага ноўтбука ў будынку. Калі сетка не можа вызначыць гэты сегмент, запішыце гэта, а не намякайце, што правіла ўлічвае прылады. Самае таннае добрае рашэнне — паўторна выкарыстаць мяжу, якая ўжо існуе з іншай прычыны, такім чынам выключэнне атрымлівае ў спадчыну кантроль, а не вынаходзіць новы. Фільтраванне па адрасе не з'яўляецца аўтэнтыфікацыяй прылад, і запіс пра змену не павінен сведчыць пра адваротнае.

Адрас крыніцы або апаратны адрас не з'яўляецца доказам фізічнага апарата. Ці мае кожны з іх сэнс, цалкам залежыць ад іншых кантроляў унутры гэтага сегмента. Калі аргумент на карысць правіла трымаецца на адрасе MAC, праверце, што перашкаджае карыстальніку змяніць яго, перш чым правіла будзе ўведзена.

Прыміце тое, чаго не скажа правіла партоў

Парты вызначаюць канчатковыя пункты транспарту, а не бізнес-намер. Калі ўзгоднены сэрвіс званкоў і неўзгоднены тунэль ідуць праз адзін і той жа UDP 4500, ніводнае правіла на аснове партоў іх не раздзяляе. Правіла, якое сцвярджае адваротнае, выглядае дакладным і такім не з'яўляецца, што горш за правіла, якое прызнае ўласную форму. Гэта абмежаванне механізму, а не памылка чалавека, які яго напісаў.

Скажыце пра гэта побач з правілам і спалучыце выключэнне з тым прымусам, які сетка мае, напрыклад з кіраваннем прыладамі або спісам дазволеных прызначэнняў. Затым выразіце выключэнне як найбольш вузка, наколькі дазваляе інструмент, напрыклад правіламі nftables, якія называюць сегмент і пару партоў, а агульную забарону ставяць пасля іх:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables ацэньвае па парадку і спыняецца на першым супадзенні, таму абмежаванае дазволенне павінна стаяць вышэй за агульную забарону. Памяняйце іх месцамі, і выключэнне маўкліва нічога не зробіць.

Праверце функцыю і забарону

Правядзіце ўзгодненую праверку на звычайным званку праз Wi-Fi, з таго класа прылад, дзеля якога існуе выключэнне, і пераканайцеся, што выключаны кліент па-ранейшаму не працуе. Ні ў якіх абставінах не выкарыстоўвайце экстранныя званкі як тэставы выпадак. Затым агледзіце правіла, якое было ўведзена, бо лічыльнік, які застыў на нулі, — самы хуткі доказ таго, што выключэнне ніколі не супала:

nft -a list chain inet edge forward

Уключыце ў тэст перападключэнне або змену сеткі і паўтарыце яго з халоднага старту, калі тэлефон далучаецца да сеткі, а не ўжо далучаны. Калі лічыльнік расце, а званкі ўсё яшчэ не праходзяць, праблема выйшла за межы файрвола і адносіцца да спісу прызначэнняў аператара.