IPsec bloķēšana, nesabojājot tālruņa Wi-Fi Calling

Pieprasījums vienmēr nāk vienā formā: aizveriet IPsec malā, jo tas pārvadā tuneļus, kurus neviens nav apstiprinājis, un pirmā sūdzība nāk no cilvēka, kura tālrunis pārstāja zvanīt pa Wi-Fi. Abi fakti ir patiesi vienlaikus, un neviens no tiem neattaisno kontroles atmešanu. Ugunsmūrim vajag pakalpojuma izņēmumu ar nosauktu funkciju, ierobežotu avotu, dokumentētiem galamērķiem un atbildīgo personu. Pieci soļi to pārvērš noteikumā, ko nākamgad varēs pārskatīt svešinieks.

Nosauciet pakalpojumu pirms protokola nosaukšanas

Galda tālrunis SIP pakalpojumā un ierīce, kas veic operatora Wi-Fi Calling, nedala vienu tīkla profilu, un VoIP kā ugunsmūra termins neapraksta nevienu no tiem. Ostu un galamērķu dati jānāk no piegādātāja vai operatora, kas pārvalda pakalpojumu, nevis no atcerētiesa ostu saraksta, kas pieder citai tālruņu sistēmai. Tā ir atšķirība starp noteikumu, kas aizsargā funkciju, un noteikumu, kas aizsargā vārdu.

Apple pakalpojumu ostu uzziņa uzskaita UDP 500 un 4500 Wi-Fi Calling vajadzībām, un tas ir tieši tas pāris, ko lielākā daļa vispārējo IPsec bloķēšanu atmet. Ierakstiet funkcijas nosaukumu izmaiņu ierakstā blakus šīm ostām. Pievienojiet izmantotās uzziņas versiju vai datumu, jo piegādātāju tabulas tiek rediģētas. Noteikumu, kas nosauc pakalpojumu, kuram tas eksistē, var pārskatīt; to, kas nosauc protokola kategoriju, nevar.

Rakstiet izņēmumu kā līgumu, nevis kā labvēlību

Izņēmums norāda atļauto funkciju, ierīču klases, kas to izmanto, nepieciešamo transportu un galamērķus, ko dokumentē atbildīgā puse. Tam ir arī īpašnieks un pārskatīšanas datums, jo operatora galapunkti un ierīču modeļi mainās, neinformējot ugunsmūra komandu. Piešķiriet pārskatīšanu personai, nevis komandas nosaukumam, kas pārdzīvos komandu. Turiet formulējumu pietiekami konkrētu, lai svešinieks varētu atvasināt noteikumu tikai no ieraksta.

Ievietojiet izņēmumu tajā pašā ciklā kā pārējo malas politiku, lai operatora galamērķa pārvietošana vai parka ierīces modeļa maiņa tiktu pamanīta pārskatīšanā, nevis nākamajā avārijā. Noslēdziet loku ar to, kurš ziņoja par salauztajiem zvaniem, jo tikai viņš var apstiprināt labojumu, neatverot no jauna tuneli, kuru bloķēšanai bija jāaizver. Šis apstiprinājums arī pieder ierakstam, ar datumu.

Pastāvīga atļauja, kas marķēta kā pagaidu tālruņa labojums, pēc diviem gadiem nav aizstāvama. Atļaujai, kas saistīta ar identificētu pakalpojumu, ir termiņš, kas tiek apzināti atjaunots.

Ierobežojiet avotu godīgi

Izņēmuma ierobežošana ar pārvaldītu ierīču segmentu ir būtiski spēcīgāka par protokola atvēršanu katram ēkas portatīvajam datoram. Ja tīkls nevar identificēt šo segmentu, pierakstiet to, nevis lieciet saprast, ka noteikums pazīst ierīces. Lētākais labais rezultāts ir atkārtoti izmantot robežu, kas jau pastāv cita iemesla dēļ, tā izņēmums manto kontroli, nevis izgudro jaunu. Filtrēšana pēc adreses nav ierīces autentifikācija, un izmaiņu ierakstam nevajadzētu liecināt pretējo.

Avota adrese vai aparatūras adrese nav fiziskas ierīces pierādījums. Vai kādai no tām ir nozīme, pilnībā atkarīgs no citām kontrolēm šajā segmentā. Ja noteikuma arguments balstās uz MAC adresi, pārbaudiet, kas lietotājam traucē to mainīt, pirms noteikums tiek izlaists.

Pieņemiet to, ko ostas noteikums nevar pateikt

Ostas identificē transporta galapunktus, nevis biznesa nodomu. Kad apstiprināts zvanu pakalpojums un neapstiprināts tunelis abi iet pa vienu un to pašu UDP 4500, neviena uz ostu balstīta noteikums tos nešķir. Noteikums, kas apgalvo, ka to dara, izskatās precīzs un nav, kas ir sliktāk nekā noteikums, kas atzīst savu formu. Tas ir mehānisma ierobežojums, nevis rakstītāja kļūda.

Sakiet to blakus noteikumam un savienojiet izņēmumu ar jebkuru izpildi, kāda tīklam ir, piemēram, ierīču pārvaldību vai atļauto galamērķu sarakstu. Pēc tam izsakiet izņēmumu pēc iespējas šaurāk, cik rīks pieļauj, piemēram, ar nftables noteikumiem, kas nosauc segmentu un ostu pāri un liek vispārējo aizliegumu pēc tiem:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables vērtē pēc kārtas un apstājas pie pirmās atbilstības, tāpēc ierobežotā atļauja ir jāatrodas virs vispārējā aizlieguma. Samainiet tos, un izņēmums klusi neko nedara.

Validējiet funkciju un aizliegumu

Veiciet apstiprināto validāciju parastā Wi-Fi zvanā, no ierīču klases, kurai izņēmums eksistē, un apstipriniet, ka izslēgts klients joprojām neizdodas. Nekad un nekādos apstākļos neizmantojiet ārkārtas zvanus kā testa gadījumu. Pēc tam pārbaudiet izlaisto noteikumu, jo skaitītājs, kas iesprūdis uz nulli, ir ātrākais pierādījums, ka izņēmums nekad nav atbildis:

nft -a list chain inet edge forward

Iekļaujiet testā atkārtotu savienojumu vai tīkla maiņu un atkārtojiet to no aukstas sākuma, kad tālrunis pievienojas tīklam, nevis jau ir pievienots. Ja skaitītājs kustas, kamēr zvani joprojām neizdodas, problēma ir atstājusi ugunsmūri un pieder operatora galamērķu sarakstam.