IPsec blokavimas nesugadinus telefono Wi-Fi Calling

Užklausa visada ateina ta pačia forma: uždarykite IPsec krašte, nes jis perneša tunelius, kurių niekas nepatvirtino, o pirmas skundas ateina iš žmogaus, kurio telefonas nustojo skambinti per Wi-Fi. Abu faktai teisingi vienu metu, ir nė vienas nepateisina kontrolės atsisakymo. Ugniasienei reikia paslaugos išimties su įvardyta funkcija, apribotu šaltiniu, dokumentuotais tikslais ir atsakingu asmeniu. Penki žingsniai tai paverčia taisykle, kurią kitąmet galės peržiūrėti nepažįstamas žmogus.

Įvardykite paslaugą prieš įvardydami protokolą

Stalinis telefonas SIP paslaugoje ir įrenginys, atliekantis operatoriaus Wi-Fi Calling, nesidalija tinklo profiliu, o VoIP kaip ugniasienės terminas neapibūdina nė vieno jų. Prievadų ir tikslų duomenys turi ateiti iš tiekėjo ar operatoriaus, kuris valdo paslaugą, o ne iš prisiminto prievadų sąrašo, priklausančio kitai telefono sistemai. Tai skirtumas tarp taisyklės, saugančios funkciją, ir taisyklės, saugančios žodį.

Apple paslaugos prievadų nuoroda nurodo UDP 500 ir 4500, skirtus Wi-Fi Calling, ir tai yra būtent ta pora, kurią dauguma bendrų IPsec blokavimų praleidžia. Įrašykite funkcijos pavadinimą į pakeitimo įrašą prie tų prievadų. Pridėkite naudotos nuorodos versiją ar datą, nes tiekėjų lentelės redaguojamos. Taisyklė, kuri įvardija paslaugą, kuriai ji egzistuoja, gali būti peržiūrėta; kuri įvardija protokolo kategoriją, negali.

Rašykite išimtį kaip sutartį, o ne kaip paslaugą

Išimtis nurodo leidžiamą funkciją, ją naudojančias įrenginių klases, reikalingą transportą ir tikslus, kuriuos dokumentuoja atsakingoji šalis. Joje taip pat yra savininkas ir peržiūros data, nes operatoriaus galiniai taškai ir įrenginių modeliai keičiasi nepranešus ugniasienės komandai. Peržiūrą paskirkite asmeniui, o ne komandos pavadinimui, kuris pergyvens komandą. Laikykite formuluotę pakankamai konkrečią, kad nepažįstamas žmogus galėtų atkurti taisyklę vien iš įrašo.

Įdėkite išimtį į tą patį ciklą kaip ir likusią krašto politiką, kad operatoriaus tikslo perkėlimas ar parko įrenginio modelio keitimas būtų pastebėtas peržiūroje, o ne per kitą triktį. Uždarykite ciklą su tuo, kuris pranešė apie nutrūkusius skambučius, nes tik jis gali patvirtinti pataisymą neatidaręs tunelio, kurį blokavimas turėjo uždaryti. Tas patvirtinimas taip pat priklauso įrašui, su data.

Nuolatinis leidimas, paženklintas laikinu telefono taisymu, po dvejų metų nepaginamas. Leidimas, susietas su identifikuota paslauga, turi galiojimo pabaigą, kuri pratęsiama sąmoningai.

Apribokite šaltinį sąžiningai

Išimties apribojimas valdomu įrenginių segmentu yra žymiai stipresnis nei protokolo atvėrimas kiekvienam pastato nešiojamam kompiuteriui. Jei tinklas negali atpažinti to segmento, tai užrašykite, o ne užsiminkite, kad taisyklė žino įrenginius. Pigiausias geras rezultatas yra pakartotinai naudoti ribą, kuri jau egzistuoja dėl kitos priežasties, taip išimtis paveldi kontrolę, o ne išranda naują. Filtravimas pagal adresą nėra įrenginio autentifikavimas, ir pakeitimo įrašas neturėtų teigti priešingai.

Šaltinio adresas ar techninės įrangos adresas nėra fizinio įrenginio įrodymas. Ar kuris nors iš jų turi prasmę, visiškai priklauso nuo kitų kontrolių tame segmente. Jei taisyklės argumentas remiasi MAC adresu, patikrinkite, kas neleidžia naudotojui jo pakeisti, prieš išleidžiant taisyklę.

Priimkite tai, ko prievado taisyklė negali pasakyti

Prievadai identifikuoja transporto galinius taškus, o ne verslo ketinimą. Kai patvirtinta skambučių paslauga ir nepatvirtintas tunelis abu eina per tą patį UDP 4500, jokia prievadu pagrįsta taisyklė jų neatskiria. Taisyklė, kuri teigia tai daranti, atrodo tiksli ir nėra, o tai blogiau nei taisyklė, kuri pripažįsta savo formą. Tai mechanizmo riba, o ne jį rašiusio žmogaus klaida.

Pasakykite tai prie taisyklės ir suporuokite išimtį su tuo vykdymu, kurį tinklas turi, pavyzdžiui, įrenginių valdymu ar leidžiamų tikslų sąrašu. Tada išreikškite išimtį kuo siauriau, kiek leidžia įrankis, pavyzdžiui, nftables taisyklėmis, kurios įvardija segmentą ir prievadų porą, o bendrą draudimą deda po jų:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables vertina iš eilės ir sustoja ties pirmu atitikimu, todėl apribotas leidimas turi būti virš bendro draudimo. Sukeiskite juos, ir išimtis tyliai nieko nedaro.

Patikrinkite funkciją ir draudimą

Atlikite patvirtintą patikrinimą įprastu Wi-Fi skambučiu, iš įrenginių klasės, kuriai išimtis egzistuoja, ir patvirtinkite, kad pašalintas klientas vis dar nepraeina. Niekada ir jokiomis aplinkybėmis nenaudokite pagalbos skambučių kaip bandymo atvejo. Tada apžiūrėkite išleistą taisyklę, nes nuliu įstrigęs skaitiklis yra greičiausias įrodymas, kad išimtis niekada nesutapo:

nft -a list chain inet edge forward

Įtraukite į bandymą prisijungimą iš naujo ar tinklo pasikeitimą ir pakartokite jį iš šaltos pradžios, kai telefonas jungiasi prie tinklo, o ne jau prijungtas. Jei skaitiklis juda, o skambučiai vis dar nepraeina, problema paliko ugniasienę ir priklauso operatoriaus tikslų sąrašui.