Blokování IPsec bez rozbití Wi-Fi Calling v telefonu

Žádost přichází vždy ve stejném tvaru: zavřete IPsec na hraně, protože přenáší tunely, které nikdo neschválil, a první stížnost přijde od člověka, jehož telefon přestal volat přes Wi-Fi. Obě skutečnosti platí současně a ani jedna neospravedlňuje opustit kontrolu. Firewall potřebuje výjimku pro službu s pojmenovanou funkcí, omezeným zdrojem, zdokumentovanými cíli a vlastníkem. Pět kroků z toho udělá pravidlo, které cizí člověk příští rok projde.

Pojmenujte službu dřív, než pojmenujete protokol

Stolní telefon na SIP službě a přístroj provádějící Wi-Fi Calling operátora nesdílejí síťový profil a VoIP jako firewallový pojem nepopisuje ani jeden z nich. Údaje o portech a cílech musí pocházet od dodavatele nebo operátora, který službu provozuje, ne z zapamatovaného seznamu portů jiného telefonního systému. To je rozdíl mezi pravidlem, které chrání funkci, a pravidlem, které chrání slovo.

Apple přehled servisních portů uvádí UDP 500 a 4500 pro Wi-Fi Calling, což je právě ta dvojice, kterou většina plošných blokád IPsec zahazuje. Napište název funkce do záznamu o změně vedle těchto portů. Přidejte verzi nebo datum přehledu, který jste použili, protože tabulky dodavatelů se upravují. Pravidlo, které pojmenuje službu, pro niž existuje, lze revidovat; to, které pojmenuje kategorii protokolu, ne.

Napište výjimku jako smlouvu, ne jako laskavost

Výjimka uvádí povolenou funkci, třídy zařízení, které ji používají, přenos, který potřebuje, a cíle, které dokumentuje odpovědná strana. Nese také vlastníka a datum revize, protože koncové body operátora a modely přístrojů se mění, aniž by to oznámily týmu firewallu. Přiřaďte revizi člověku, ne názvu týmu, který tým přežije. Držte formulaci dost konkrétní, aby cizí člověk mohl pravidlo odvodit jen ze záznamu.

Zařaďte výjimku do stejného cyklu jako zbytek hraniční politiky, aby přesun cíle operátorem nebo výměna modelu ve flotile byla zachycena při revizi, ne při dalším výpadku. Uzavřete smyčku s tím, kdo nahlásil rozbité hovory, protože jen on může potvrdit opravu, aniž by znovu otevřel tunel, který mělo zablokování zavřít. To potvrzení patří do záznamu také, s datem.

Trvalé povolení označené jako dočasná oprava telefonu je za dva roky neobhajitelné. Povolení vázané na určenou službu má expiraci, která se obnovuje záměrně.

Vymezte zdroj poctivě

Omezit výjimku na spravovaný segment zařízení je podstatně silnější než otevřít protokol každému notebooku v budově. Pokud síť ten segment neumí identifikovat, napište to, místo abyste naznačovali, že pravidlo zná zařízení. Nejlevnější dobrý výsledek je znovu použít hranici, která už existuje z jiného důvodu, takže výjimka zdědí kontrolu, místo aby vymýšlela novou. Filtrování podle adresy není autentizace zařízení a záznam o změně by neměl naznačovat opak.

Zdrojová adresa ani hardwarová adresa není důkazem fyzického přístroje. Zda má některá z nich význam, závisí zcela na ostatních kontrolách uvnitř toho segmentu. Pokud argument pro pravidlo stojí na MAC adrese, ověřte, co uživateli brání ji změnit, než pravidlo odejde.

Přijměte, co vám portové pravidlo neřekne

Porty určují přenosové koncové body, ne obchodní záměr. Když schválená služba volání a neschválený tunel jezdí po stejném UDP 4500, žádné pravidlo založené na portu je neoddělí. Pravidlo, které tvrdí, že to dělá, vypadá přesně a není, což je horší než pravidlo, které přiznává svůj tvar. To je limit mechanismu, ne chyba člověka, který ho napsal.

Řekněte to vedle pravidla a spojte výjimku s tím, co síť na vynucení má, například se správou zařízení nebo se seznamem povolených cílů. Pak výjimku vyjádřete co nejúžeji, jak nástroj dovolí, třeba pravidly nftables, která pojmenují segment a dvojici portů a obecný zákaz dají za ně:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables vyhodnocuje po pořadí a zastaví se na první shodě, takže omezené povolení musí být nad obecným zákazem. Obraťte je a výjimka tiše nic nedělá.

Ověřte funkci i zákaz

Proveďte schválenou validaci na běžném hovoru přes Wi-Fi, ze třídy zařízení, pro kterou výjimka existuje, a potvrďte, že vyloučený klient stále selhává. Nikdy a za žádných okolností nepoužívejte tísňové volání jako testovací případ. Pak prohlédněte pravidlo, které odešlo, protože čítač zaseknutý na nule je nejrychlejší důkaz, že výjimka nikdy neseděla:

nft -a list chain inet edge forward

Zahrňte do testu opětovné připojení nebo změnu sítě a zopakujte ho ze studeného startu, kdy se telefon k síti připojuje, místo aby už byl připojený. Pokud se čítač hýbe a hovory stále selhávají, problém opustil firewall a patří k seznamu cílů operátora.