Blokiranje IPsec-a bez kvarenja Wi-Fi Calling-a na telefonu

Zahtjev uvijek dolazi u istom obliku: zatvorite IPsec na rubu jer prenosi tunele koje nitko nije odobrio, a prva žalba dolazi od osobe čiji je telefon prestao obavljati pozive preko Wi-Fi-ja. Obje činjenice istodobno su točne i nijedna ne opravdava napuštanje kontrole. Firewallu treba izuzetak za uslugu s imenovanom funkcijom, ograničenim izvorom, dokumentiranim odredištima i vlasnikom. Pet koraka to pretvara u pravilo koje stranac može pregledati sljedeće godine.

Imenujte uslugu prije nego što imenujete protokol

Stolni telefon na SIP usluzi i uređaj koji obavlja Wi-Fi Calling operatera ne dijele isti mrežni profil, a VoIP kao firewall pojam ne opisuje nijedan od njih. Podaci o portovima i odredištima moraju doći od dobavljača ili operatera koji upravlja uslugom, a ne iz zapamćenog popisa portova koji pripada drugom telefonskom sustavu. To je razlika između pravila koje štiti funkciju i pravila koje štiti riječ.

Appleov pregled servisnih portova navodi UDP 500 i 4500 za Wi-Fi Calling, što je upravo par koji većina sveobuhvatnih IPsec blokada odbacuje. Upišite naziv funkcije u zapis o promjeni pokraj tih portova. Dodajte verziju ili datum pregleda koji ste koristili, jer se tablice dobavljača uređuju. Pravilo koje imenuje uslugu zbog koje postoji može se pregledati; ono koje imenuje kategoriju protokola ne može.

Napišite izuzetak kao ugovor, a ne kao uslugu

Izuzetak navodi dopuštenu funkciju, klase uređaja koje je koriste, prijenos koji joj treba i odredišta koja dokumentira odgovorna strana. Nosi i vlasnika i datum pregleda, jer se operaterske krajnje točke i modeli uređaja mijenjaju bez obavještavanja firewall tima. Dodijelite pregled osobi, a ne nazivu tima koji će nadživjeti tim. Neka formulacija bude dovoljno precizna da stranac može izvesti pravilo samo iz zapisa.

Postavite izuzetak u isti ciklus kao i ostatak rubne politike, kako bi se premještanje odredišta kod operatera ili zamjena modela u floti primijetila na pregledu, a ne pri sljedećem prekidu. Zatvorite petlju s onim koji je prijavio pokvarene pozive, jer je on jedini koji može potvrditi popravak bez ponovnog otvaranja tunela koji je blokada trebala zatvoriti. Ta potvrda također pripada u zapis, s datumom.

Trajna dozvola označena kao privremeni popravak telefona neobranjiva je dvije godine kasnije. Dozvola vezana uz identificiranu uslugu ima rok koji se namjerno obnavlja.

Ograničite izvor iskreno

Ograničavanje izuzetka na upravljani segment uređaja bitno je jače od otvaranja protokola za svaki prijenosnik u zgradi. Ako mreža ne može identificirati taj segment, zapišite to umjesto da implicirate da pravilo poznaje uređaje. Najjeftiniji dobar ishod je ponovno korištenje granice koja već postoji zbog drugog razloga, pa izuzetak nasljeđuje kontrolu umjesto da izmišlja novu. Filtriranje po adresi nije autentifikacija uređaja i zapis o promjeni ne smije sugerirati suprotno.

Adresa izvora ili hardverska adresa nije dokaz fizičkog uređaja. Ima li koja od njih značenje, ovisi isključivo o drugim kontrolama unutar tog segmenta. Ako se argument za pravilo oslanja na MAC adresu, provjerite što sprječava korisnika da je promijeni prije nego što pravilo bude pušteno.

Prihvatite što vam pravilo porta ne može reći

Portovi identificiraju prijenosne krajnje točke, a ne poslovnu namjeru. Kada odobrena usluga poziva i neodobreni tunel idu preko istog UDP 4500, nijedno pravilo zasnovano na portu ih ne razdvaja. Pravilo koje tvrdi da to čini izgleda precizno, a nije, što je gore od pravila koje priznaje vlastiti oblik. To je ograničenje mehanizma, a ne pogreška osobe koja ga je napisala.

Recite to pokraj pravila i uparite izuzetak s bilo kojom primjenom koju mreža ima, poput upravljanja uređajima ili popisa dopuštenih odredišta. Zatim izrazite izuzetak što je uže moguće, na primjer nftables pravilima koja imenuju segment i par portova, a opću zabranu stavljaju poslije njih:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables vrednuje po redu i zaustavlja se na prvom podudaranju, pa ograničeno dopuštanje mora stajati iznad opće zabrane. Zamijenite ih i izuzetak tiho ne radi ništa.

Provjerite funkciju i zabranu

Pokrenite odobrenu provjeru na običnom Wi-Fi pozivu, s klase uređaja zbog koje izuzetak postoji, i potvrdite da isključeni klijent i dalje ne prolazi. Nikada i ni pod kojim uvjetima ne koristite hitne pozive kao testni slučaj. Zatim pregledajte pravilo koje je pušteno, jer brojač zaglavljen na nuli najbrži je dokaz da se izuzetak nikada nije podudario:

nft -a list chain inet edge forward

Uključite ponovno povezivanje ili promjenu mreže u test i ponovite ga iz hladnog starta, kada se telefon pridružuje mreži, a ne kada je već povezan. Ako se brojač pomiče, a pozivi i dalje ne prolaze, problem je napustio firewall i pripada operaterskom popisu odredišta.