Blokowanie IPsec bez psucia Wi-Fi Calling w telefonie

Wniosek zawsze przychodzi w tej samej formie: zamknijcie IPsec na brzegu, bo przenosi tunele, których nikt nie zatwierdził, a pierwsza skarga pochodzi od osoby, której telefon przestał dzwonić przez Wi-Fi. Oba fakty są prawdziwe jednocześnie i żaden nie uzasadnia rezygnacji z kontroli. Zapora potrzebuje wyjątku usługowego z nazwaną funkcją, ograniczonym źródłem, udokumentowanymi celami i właścicielem. Pięć kroków zamienia to w regułę, którą obcy człowiek będzie mógł przejrzeć za rok.

Nazwij usługę, zanim nazwiesz protokół

Telefon biurkowy w usłudze SIP i aparat wykonujący Wi-Fi Calling operatora nie dzielą profilu sieciowego, a VoIP jako termin zaporowy nie opisuje żadnego z nich. Dane o portach i celach muszą pochodzić od dostawcy lub operatora, który prowadzi usługę, a nie z zapamiętanej listy portów należącej do innego systemu telefonicznego. To różnica między regułą chroniącą funkcję a regułą chroniącą słowo.

Apple wykaz portów usług wymienia UDP 500 i 4500 dla Wi-Fi Calling, czyli dokładnie tę parę, którą odrzuca większość masowych blokad IPsec. Zapisz nazwę funkcji w rejestrze zmian obok tych portów. Dodaj wersję lub datę wykorzystanego wykazu, bo tabele dostawców są edytowane. Regułę, która nazywa usługę, dla której istnieje, można przejrzeć; reguły, która nazywa kategorię protokołu, nie.

Napisz wyjątek jako umowę, nie jako przysługę

Wyjątek określa dozwoloną funkcję, klasy urządzeń, które z niej korzystają, potrzebny transport i cele dokumentowane przez stronę odpowiedzialną. Ma też właściciela i datę przeglądu, bo punkty końcowe operatora i modele aparatów zmieniają się bez powiadamiania zespołu zapory. Przegląd powierz osobie, a nie nazwie zespołu, która przetrwa zespół. Utrzymaj sformułowanie na tyle konkretne, by obcy człowiek mógł odtworzyć regułę wyłącznie z rejestru.

Umieść wyjątek w tym samym cyklu co resztę polityki brzegu, aby przeniesienie celu przez operatora albo wymiana modelu aparatu w parku została zauważona przy przeglądzie, a nie przy następnej awarii. Zamknij pętlę z osobą, która zgłosiła zepsute połączenia, bo tylko ona może potwierdzić poprawkę bez ponownego otwierania tunelu, który blokada miała zamknąć. To potwierdzenie również należy do rejestru, z datą.

Trwałe pozwolenie oznaczone jako tymczasowa naprawa telefonu jest nie do obrony dwa lata później. Pozwolenie powiązane ze zidentyfikowaną usługą ma termin ważności, który odnawia się świadomie.

Ogranicz źródło uczciwie

Ograniczenie wyjątku do zarządzanego segmentu urządzeń jest istotnie silniejsze niż otwarcie protokołu dla każdego laptopa w budynku. Jeśli sieć nie potrafi zidentyfikować tego segmentu, zapisz to, zamiast sugerować, że reguła zna urządzenia. Najtańszy dobry wynik to ponowne użycie granicy, która już istnieje z innego powodu, dzięki czemu wyjątek dziedziczy kontrolę, a nie wymyśla nową. Filtrowanie po adresie nie jest uwierzytelnieniem urządzenia i rejestr zmian nie powinien sugerować inaczej.

Adres źródłowy ani adres sprzętowy nie są dowodem fizycznego aparatu. To, czy któryś ma znaczenie, zależy całkowicie od innych kontroli w tym segmencie. Jeśli argument za regułą opiera się na adresie MAC, sprawdź, co powstrzymuje użytkownika przed jego zmianą, zanim reguła zostanie wdrożona.

Zaakceptuj to, czego reguła portowa nie powie

Porty identyfikują punkty końcowe transportu, a nie intencję biznesową. Gdy zatwierdzona usługa połączeń i niezatwierdzony tunel idą tym samym UDP 4500, żadna reguła oparta na porcie ich nie rozdzieli. Reguła, która twierdzi, że to robi, wygląda precyzyjnie i nie jest, co jest gorsze niż reguła, która przyznaje się do własnego kształtu. To ograniczenie mechanizmu, a nie błąd autora.

Powiedz to obok reguły i połącz wyjątek z egzekwowaniem, które sieć posiada, na przykład zarządzaniem urządzeniami lub listą dozwolonych celów. Następnie wyraź wyjątek tak wąsko, jak pozwala narzędzie, na przykład regułami nftables, które nazywają segment i parę portów, a ogólne odrzucenie stawiają po nich:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables ocenia po kolei i zatrzymuje się na pierwszym dopasowaniu, więc ograniczone zezwolenie musi stać nad ogólnym odrzuceniem. Odwróć je i wyjątek po cichu nie robi nic.

Sprawdź funkcję i odrzucenie

Wykonaj zatwierdzoną walidację na zwykłym połączeniu Wi-Fi, z klasy urządzeń, dla której istnieje wyjątek, i potwierdź, że wykluczony klient nadal zawodzi. Nigdy i w żadnych okolicznościach nie używaj połączeń alarmowych jako przypadku testowego. Następnie obejrzyj wdrożoną regułę, bo licznik stojący na zerze jest najszybszym dowodem, że wyjątek nigdy nie pasował:

nft -a list chain inet edge forward

Uwzględnij w teście ponowne połączenie lub zmianę sieci i powtórz go z zimnego startu, gdy telefon dołącza do sieci, a nie jest już podłączony. Jeśli licznik się przesuwa, a połączenia nadal zawodzą, problem opuścił zaporę i należy do listy celów operatora.