Blokiranje IPsec brez uničenja Wi-Fi Calling na telefonu

Zahteva vedno pride v isti obliki: zaprite IPsec na robu, ker prenaša tunele, ki jih nihče ni odobril, prva pritožba pa pride od nekoga, čigar telefon je prenehal klicati prek Wi-Fi. Obe dejstvi sta resnični hkrati in nobeno ne upravičuje opustitve nadzora. Kar požarni zid potrebuje, je izjema za storitev z imenovano funkcijo, omejenim virom, dokumentiranimi cilji in lastnikom. Pet korakov to spremeni v pravilo, ki ga bo prihodnje leto lahko pregledal tujec.

Imenujte storitev, preden imenujete protokol

Namizni telefon na storitvi SIP in naprava, ki izvaja Wi-Fi Calling operaterja, si ne delita omrežnega profila, VoIP kot pojem požarnega zidu pa ne opisuje nobenega od njiju. Podatki o vratih in ciljih morajo priti od ponudnika ali operaterja, ki storitev upravlja, ne iz zapomnjenega seznama vrat drugega telefonskega sistema. To je razlika med pravilom, ki ščiti funkcijo, in pravilom, ki ščiti besedo.

Apple pregled storitvenih vrat navaja UDP 500 in 4500 za Wi-Fi Calling, kar je natanko tisti par, ki ga večina splošnih blokad IPsec zavrže. Zapišite ime funkcije v zapis o spremembi ob teh vratih. Dodajte različico ali datum uporabljenega pregleda, ker se tabele ponudnikov urejajo. Pravilo, ki imenuje storitev, za katero obstaja, je mogoče pregledati; tisto, ki imenuje kategorijo protokola, ne.

Izjemo napišite kot pogodbo, ne kot uslugo

Izjema navaja dovoljeno funkcijo, razrede naprav, ki jo uporabljajo, potreben prenos in cilje, ki jih dokumentira odgovorna stran. Nos i lastnika in datum pregleda, ker se končne točke operaterja in modeli naprav spreminjajo, ne da bi o tem obvestili ekipo požarnega zidu. Pregled dodelite osebi, ne imenu ekipe, ki bo ekipo preživelo. Besedilo naj bo dovolj natančno, da lahko tujec pravilo izpelje samo iz zapisa.

Izjemo postavite v isti cikel kot preostalo robno politiko, da se premik cilja pri operaterju ali zamenjava modela v vozni parku opazi pri pregledu in ne ob naslednji okvari. Zaprite zanko s tistim, ki je prijavil pokvarjene klice, ker je edini, ki lahko potrdi popravek, ne da bi znova odprl tunel, ki naj bi ga blokada zaprla. Ta potrditev sodi tudi v zapis, z datumom.

Trajno dovoljenje, označeno kot začasno popravilo telefona, je dve leti pozneje neobranljivo. Dovoljenje, vezano na prepoznano storitev, ima potek, ki se namerno obnavlja.

Omejite vir pošteno

Omejitev izjeme na upravljani segment naprav je bistveno močnejša od odprtja protokola za vsak prenosnik v stavbi. Če omrežje tega segmenta ne more prepoznati, to zapišite, namesto da bi namigovali, da pravilo pozna naprave. Najcenejši dober izid je ponovna uporaba meje, ki že obstaja iz drugega razloga, tako izjema podeduje nadzor, namesto da bi si ga izmislila. Filtriranje po naslovu ni preverjanje naprave in zapis o spremembi ne sme namigovati na nasprotno.

Naslov vira ali naslov strojne opreme ni dokaz fizične naprave. Ali ima kateri od njiju pomen, je popolnoma odvisno od drugih nadzorov v tem segmentu. Če argument za pravilo temelji na naslovu MAC, preverite, kaj uporabniku preprečuje, da bi ga spremenil, preden pravilo izide.

Sprejmite, česar pravilo vrat ne more povedati

Vrata določajo prenosne končne točke, ne poslovnega namena. Ko odobrena storitev klicev in neodobren tunel potujeta po istih UDP 4500, ju nobeno pravilo, ki temelji na vratih, ne loči. Pravilo, ki trdi, da to počne, je videti natančno in ni, kar je slabše od pravila, ki prizna svojo obliko. To je omejitev mehanizma, ne napaka pisca.

To povejte ob pravilu in izjemo povežite s tistim izvajanjem, ki ga ima omrežje, na primer z upravljanjem naprav ali seznamom dovoljenih ciljev. Nato izrazite izjemo čim ožje, kot orodje dopušča, na primer s pravili nftables, ki imenujejo segment in par vrat ter splošno prepoved postavijo za njima:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables vrednoti po vrstnem redu in se ustavi pri prvem ujemanju, zato mora biti omejena odobritev nad splošno prepovedjo. Obrnite ju in izjema tiho ne stori ničesar.

Preverite funkcijo in prepoved

Izvedite odobreno preverjanje na običajnem klicu prek Wi-Fi, iz razreda naprav, za katerega izjema obstaja, in potrdite, da izključeni odjemalec še vedno ne uspe. Nikoli in v nobenih okoliščinah ne uporabljajte klicev v sili kot testni primer. Nato pregledjte pravilo, ki je bilo objavljeno, ker števec, obtičal na ničli, je najhitrejši dokaz, da se izjema nikoli ni ujemala:

nft -a list chain inet edge forward

V test vključite ponovno povezavo ali spremembo omrežja in ga ponovite iz hladnega zagona, ko se telefon pridruži omrežju, namesto da je že povezan. Če se števec premakne, medtem ko klici še vedno ne uspejo, je težava zapustila požarni zid in spada na seznam ciljev operaterja.