Блокирање на IPsec без кршење на Wi-Fi Calling на телефонот

Барањето секогаш доаѓа во иста форма: затворете IPsec на работ бидејќи пренесува тунели што никој не ги одобрил, а првата жалба доаѓа од некој чиј телефон престана да звони преку Wi-Fi. Двата факти се точни истовремено и ниту еден не го оправдува напуштањето на контролата. Она што му треба на ѕидот за заштита е исклучок за услуга со именувана функција, ограничен извор, документирани дестинации и одговорно лице. Пет чекори го претвораат тоа во правило што странец ќе може да го прегледа следната година.

Именувајте ја услугата пред да го именувате протоколот

Службен телефон на SIP услуга и уред што извршува Wi-Fi Calling на операторот не делат ист мрежен профил, а VoIP како поим на ѕид за заштита не опишува ниту еден од нив. Податоците за порти и дестинации мора да доаѓаат од добавувачот или операторот што ја води услугата, а не од запаметена листа на порти што припаѓа на друг телефонски систем. Тоа е разликата помеѓу правило што штити функција и правило што штити збор.

Apple прегледот на порти за услуги ги наведува UDP 500 и 4500 за Wi-Fi Calling, што е токму парот што повеќето целосни IPsec блокади го отфрлаат. Запишете го името на функцијата во записот за промена до тие порти. Додајте верзија или датум на прегледот што сте го користеле, бидејќи табелите на добавувачите се уредуваат. Правило што ја именува услугата за која постои може да се прегледа; она што именува категорија на протокол не може.

Напишете го исклучокот како договор, не како услуга

Исклучокот ја наведува дозволената функција, класите уреди што ја користат, транспортот што ѝ е потребен и дестинациите што ги документира одговорната страна. Носи и сопственик и датум на преглед, бидејќи крајните точки на операторот и моделите на уреди се менуваат без да го известат тимот на ѕидот за заштита. Доделете го прегледот на личност, а не на име на тим што ќе го надживее тимот. Држете го формулацијата доволно конкретна за странец да може да го изведе правилото само од записот.

Ставете го исклучокот во истиот циклус како остатокот од политиката на работ, за да се забележи преместување на дестинација од операторот или замена на модел во паркот при прегледот, а не при следниот прекин. Затворете ја јамката со тој што ги пријавил расипаните повици, бидејќи само тој може да ја потврди поправката без повторно да го отвори тунелот што блокадата требало да го затвори. Таа потврда исто така припаѓа во записот, со датум.

Трајна дозвола означена како привремена поправка на телефон е неодбранлива две години подоцна. Дозволата врзана за идентификувана услуга има рок што се обновува намерно.

Ограничете го изворот чесно

Ограничувањето на исклучокот на управуван сегмент уреди е значително посилно од отворање на протоколот за секој преносен компјутер во зградата. Ако мрежата не може да го идентификува тој сегмент, запишете го тоа наместо да навестувате дека правилото ги познава уредите. Најевтиниот добар исход е повторно користење на граница што веќе постои од друга причина, па исклучокот наследува контрола наместо да измисли нова. Филтрирањето по адреса не е автентикација на уред и записот за промена не треба да навестува спротивно.

Адреса на извор или хардверска адреса не е доказ за физички уред. Дали некоја од нив има значење зависи целосно од другите контроли во тој сегмент. Ако аргументот за правилото се потпира на MAC адреса, проверете што го спречува корисникот да ја смени пред правилото да излезе.

Прифатете што не може да ви каже правило за порта

Портите идентификуваат крајни точки на транспорт, не деловна намера. Кога одобрена услуга за повици и неодобрен тунел одат преку истиот UDP 4500, ниту едно правило засновано на порта не ги разделува. Правило што тврди дека го прави тоа изгледа прецизно и не е, што е полошо од правило што ја признава сопствената форма. Тоа е ограничување на механизмот, не грешка на човекот што го напишал.

Кажете го тоа до правилото и спарете го исклучокот со какво било спроведување што го има мрежата, како управување со уреди или листа на дозволени дестинации. Потоа изразете го исклучокот колку што алатката дозволува потесно, на пример со правила на nftables што го именуваат сегментот и парот порти и ја ставаат општата забрана по нив:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables оценува по ред и запира на првото совпаѓање, така што ограниченото дозволување мора да стои над општата забрана. Заменете ги двете и исклучокот тивко не прави ништо.

Валидирајте ја функцијата и забраната

Изведете ја одобрената проверка на обичен Wi-Fi повик, од класата уреди за која постои исклучокот, и потврдете дека исклучен клиент сè уште не поминува. Никогаш и во никој случај не користете повици за итна помош како тест случај. Потоа прегледајте го правилото што излезе, бидејќи бројач заглавен на нула е најбрзиот доказ дека исклучокот никогаш не се совпаднал:

nft -a list chain inet edge forward

Вклучете повторно поврзување или промена на мрежа во тестот и повторете го од ладен почеток, кога телефонот се приклучува на мрежата, а не кога е веќе поврзан. Ако бројачот се движи додека повиците сè уште не поминуваат, проблемот го напуштил ѕидот за заштита и припаѓа на листата дестинации на операторот.