Blokiranje IPsec-a bez kvarenja Wi-Fi Calling-a na telefonu

Zahtjev uvijek dolazi u istom obliku: zatvorite IPsec na rubu jer nosi tunele koje niko nije odobrio, a prva žalba dolazi od osobe čiji je telefon prestao obavljati pozive preko Wi-Fi-ja. Obje činjenice su istovremeno tačne i nijedna ne opravdava napuštanje kontrole. Firewallu treba izuzetak za uslugu s imenovanom funkcijom, ograničenim izvorom, dokumentovanim odredištima i vlasnikom. Pet koraka to pretvara u pravilo koje stranac može pregledati sljedeće godine.

Imenujte uslugu prije nego što imenujete protokol

Stolni telefon na SIP usluzi i aparat koji obavlja Wi-Fi Calling operatera ne dijele isti mrežni profil, a VoIP kao firewall pojam ne opisuje nijedan od njih. Podaci o portovima i odredištima moraju doći od dobavljača ili operatera koji upravlja uslugom, a ne iz zapamćene liste portova koja pripada drugom telefonskom sistemu. To je razlika između pravila koje štiti funkciju i pravila koje štiti riječ.

Appleov pregled servisnih portova navodi UDP 500 i 4500 za Wi-Fi Calling, što je upravo par koji većina sveobuhvatnih IPsec blokada odbacuje. Upišite naziv funkcije u zapis o promjeni pored tih portova. Dodajte verziju ili datum pregleda koji ste koristili, jer se tabele dobavljača uređuju. Pravilo koje imenuje uslugu zbog koje postoji može se pregledati; ono koje imenuje kategoriju protokola ne može.

Napišite izuzetak kao ugovor, a ne kao uslugu

Izuzetak navodi dozvoljenu funkciju, klase uređaja koje je koriste, transport koji joj treba i odredišta koja dokumentuje odgovorna strana. Nosi i vlasnika i datum pregleda, jer se operaterske krajnje tačke i modeli aparata mijenjaju bez obavještavanja firewall tima. Dodijelite pregled osobi, a ne imenu tima koje će nadživjeti tim. Neka formulacija bude dovoljno precizna da stranac može izvesti pravilo samo iz zapisa.

Postavite izuzetak u isti ciklus kao i ostatak rubne politike, kako bi se preseljenje odredišta kod operatera ili zamjena modela u floti primijetila na pregledu, a ne pri sljedećem prekidu. Zatvorite petlju s onim koji je prijavio pokvarene pozive, jer je on jedini koji može potvrditi popravku bez ponovnog otvaranja tunela koji je blokada trebalo da zatvori. Ta potvrda takođe pripada u zapis, s datumom.

Trajna dozvola označena kao privremena popravka telefona neodbranjiva je dvije godine kasnije. Dozvola vezana za identifikovanu uslugu ima rok koji se namjerno obnavlja.

Ograničite izvor iskreno

Ograničavanje izuzetka na upravljani segment uređaja materijalno je jače od otvaranja protokola za svaki laptop u zgradi. Ako mreža ne može identificirati taj segment, zapišite to umjesto da implicirate da pravilo poznaje uređaje. Najjeftiniji dobar ishod je ponovno korištenje granice koja već postoji zbog drugog razloga, pa izuzetak nasljeđuje kontrolu umjesto da izmišlja novu. Filtriranje po adresi nije autentifikacija uređaja i zapis o promjeni ne smije sugerisati suprotno.

Adresa izvora ili hardverska adresa nije dokaz fizičkog aparata. Da li ijedna od njih ima značenje zavisi isključivo od drugih kontrola unutar tog segmenta. Ako se argument za pravilo oslanja na MAC adresu, provjerite šta sprječava korisnika da je promijeni prije nego što pravilo bude pušteno.

Prihvatite šta vam pravilo porta ne može reći

Portovi identifikuju transportne krajnje tačke, a ne poslovnu namjeru. Kada odobrena usluga poziva i neodobreni tunel idu preko istog UDP 4500, nijedno pravilo zasnovano na portu ih ne razdvaja. Pravilo koje tvrdi da to čini izgleda precizno, a nije, što je gore od pravila koje priznaje sopstveni oblik. To je ograničenje mehanizma, a ne greška osobe koja ga je napisala.

Recite to pored pravila i uparite izuzetak sa bilo kojom primjenom koju mreža ima, poput upravljanja uređajima ili liste dozvoljenih odredišta. Zatim izrazite izuzetak što je uže moguće, na primjer nftables pravilima koja imenuju segment i par portova, a opštu zabranu stavljaju poslije njih:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables vrednuje po redu i zaustavlja se na prvom podudaranju, pa ograničeno dozvoljavanje mora stajati iznad opšte zabrane. Zamijenite ih i izuzetak tiho ne radi ništa.

Provjerite funkciju i zabranu

Pokrenite odobrenu provjeru na običnom Wi-Fi pozivu, s klase uređaja zbog koje izuzetak postoji, i potvrdite da isključeni klijent i dalje ne prolazi. Nikada i ni pod kojim uslovima ne koristite hitne pozive kao testni slučaj. Zatim pregledajte pravilo koje je pušteno, jer brojač zaglavljen na nuli najbrži je dokaz da se izuzetak nikada nije podudario:

nft -a list chain inet edge forward

Uključite ponovno povezivanje ili promjenu mreže u test i ponovite ga iz hladnog starta, kada se telefon pridružuje mreži, a ne kada je već povezan. Ako se brojač pomjera, a pozivi i dalje ne prolaze, problem je napustio firewall i pripada operaterskoj listi odredišta.