Blokovanie IPsec bez pokazenia Wi-Fi Calling v telefóne

Žiadosť prichádza vždy v rovnakom tvare: zavrite IPsec na hrane, pretože prenáša tunely, ktoré nikto neschválil, a prvá sťažnosť prichádza od človeka, ktorého telefón prestal volať cez Wi-Fi. Obe skutočnosti platia súčasne a ani jedna neospravedlňuje opustenie kontroly. Firewall potrebuje výnimku pre službu s pomenovanou funkciou, obmedzeným zdrojom, zdokumentovanými cieľmi a vlastníkom. Päť krokov z toho urobí pravidlo, ktoré cudzí človek budúci rok prejde.

Pomenujte službu skôr, než pomenujete protokol

Stolný telefón na SIP službe a prístroj vykonávajúci Wi-Fi Calling operátora nezdieľajú sieťový profil a VoIP ako firewallový pojem neopisuje ani jeden z nich. Údaje o portoch a cieľoch musia pochádzať od dodávateľa alebo operátora, ktorý službu prevádzkuje, nie zo zapamätaného zoznamu portov iného telefónneho systému. To je rozdiel medzi pravidlom, ktoré chráni funkciu, a pravidlom, ktoré chráni slovo.

Apple prehľad servisných portov uvádza UDP 500 a 4500 pre Wi-Fi Calling, čo je práve tá dvojica, ktorú väčšina plošných blokád IPsec zahadzuje. Napíšte názov funkcie do záznamu o zmene vedľa týchto portov. Pridajte verziu alebo dátum prehľadu, ktorý ste použili, pretože tabuľky dodávateľov sa upravujú. Pravidlo, ktoré pomenuje službu, pre ktorú existuje, možno revidovať; to, ktoré pomenuje kategóriu protokolu, nie.

Napíšte výnimku ako zmluvu, nie ako láskavosť

Výnimka uvádza povolenú funkciu, triedy zariadení, ktoré ju používajú, potrebný prenos a ciele, ktoré dokumentuje zodpovedná strana. Nesie aj vlastníka a dátum revízie, pretože koncové body operátora a modely prístrojov sa menia bez upozornenia tímu firewallu. Priraďte revíziu človeku, nie názvu tímu, ktorý tím prežije. Držte formuláciu dosť konkrétnu, aby cudzí človek mohol pravidlo odvodiť len zo záznamu.

Zaradte výnimku do rovnakého cyklu ako zvyšok hraničnej politiky, aby presun cieľa operátorom alebo výmena modelu vo flotile bola zachytená pri revízii, nie pri ďalšom výpadku. Uzavrite slučku s tým, kto nahlásil pokazené hovory, pretože len on môže potvrdiť opravu bez opätovného otvorenia tunela, ktorý mala blokácia zavrieť. To potvrdenie patrí do záznamu tiež, s dátumom.

Trvalé povolenie označené ako dočasná oprava telefónu je o dva roky neobhájiteľné. Povolenie viazané na určenú službu má expiráciu, ktorá sa obnovuje zámerne.

Vymedzte zdroj poctivo

Obmedziť výnimku na spravovaný segment zariadení je podstatne silnejšie než otvoriť protokol každému notebooku v budove. Ak sieť ten segment nevie identifikovať, napíšte to, namiesto aby ste naznačovali, že pravidlo pozná zariadenia. Najlacnejší dobrý výsledok je znovu použiť hranicu, ktorá už existuje z iného dôvodu, takže výnimka zdedí kontrolu, namiesto aby vymýšľala novú. Filtrovanie podľa adresy nie je autentifikácia zariadenia a záznam o zmene by nemal naznačovať opak.

Zdrojová adresa ani hardvérová adresa nie je dôkazom fyzického prístroja. Či má niektorá z nich význam, závisí úplne od ostatných kontrol v tom segmente. Ak argument pre pravidlo stojí na MAC adrese, overte, čo používateľovi bráni ju zmeniť, kým pravidlo odíde.

Prijmite, čo vám portové pravidlo nevie povedať

Porty určujú prenosové koncové body, nie obchodný zámer. Keď schválená služba volania a neschválený tunel idú po tom istom UDP 4500, žiadne pravidlo založené na porte ich neoddelí. Pravidlo, ktoré tvrdí, že to robí, vyzerá presne a nie je, čo je horšie než pravidlo, ktoré priznáva svoj tvar. To je limit mechanizmu, nie chyba človeka, ktorý ho napísal.

Povedzte to vedľa pravidla a spojte výnimku s tým, čo sieť na vynútenie má, napríklad so správou zariadení alebo so zoznamom povolených cieľov. Potom výnimku vyjadrite čo najužšie, ako nástroj dovolí, napríklad pravidlami nftables, ktoré pomenujú segment a dvojicu portov a všeobecný zákaz dajú za ne:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables vyhodnocuje po poradí a zastaví sa na prvej zhode, takže obmedzené povolenie musí byť nad všeobecným zákazom. Otočte ich a výnimka potichu nič nerobí.

Overte funkciu aj zákaz

Vykonajte schválenú validáciu na bežnom hovore cez Wi-Fi, z triedy zariadení, pre ktorú výnimka existuje, a potvrďte, že vylúčený klient stále zlyháva. Nikdy a za žiadnych okolností nepoužívajte tiesňové volanie ako testovací prípad. Potom prezrite pravidlo, ktoré odišlo, pretože počítadlo zaseknuté na nule je najrýchlejší dôkaz, že výnimka nikdy nesedela:

nft -a list chain inet edge forward

Zahrňte do testu opätovné pripojenie alebo zmenu siete a zopakujte ho zo studeného štartu, keď sa telefón k sieti pripája, namiesto toho, aby už bol pripojený. Ak sa počítadlo hýbe a hovory stále zlyhávajú, problém opustil firewall a patrí k zoznamu cieľov operátora.