Bllokimi i IPsec pa prishur Wi-Fi Calling të telefonit

Kërkesa vjen gjithmonë në të njëjtën formë: mbyllni IPsec në skaj sepse bart tunele që askush nuk i ka miratuar, dhe ankesa e parë vjen nga dikush, telefoni i të cilit ndaloi së telefonuari përmes Wi-Fi. Të dyja faktet janë të vërteta njëkohësisht, dhe asnjëra nuk e justifikon heqjen dorë nga kontrolli. Ajo që i duhet murit të zjarrit është një përjashtim shërbimi me funksion të emërtuar, burim të kufizuar, destinacione të dokumentuara dhe një pronar. Pesë hapa e kthejnë atë në një rregull që një i huaj mund ta rishikojë vitin e ardhshëm.

Emërto shërbimin përpara se të emërtojë protokollin

Një telefon tavoline në një shërbim SIP dhe një aparat që kryen Wi-Fi Calling të operatorit nuk ndajnë të njëjtin profil rrjeti, dhe VoIP si term i murit të zjarrit nuk përshkruan asnjërin prej tyre. Të dhënat e porteve dhe destinacioneve duhet të vijnë nga furnizuesi ose operatori që menaxhon shërbimin, jo nga një listë e mbajtur mend portesh që i përket një sistemi tjetër telefonik. Ky është ndryshimi midis një rregulli që mbron një funksion dhe një rregulli që mbron një fjalë.

Referenca e porteve të shërbimit e Apple rendit UDP 500 dhe 4500 për Wi-Fi Calling, që është pikërisht çifti që shumica e bllokimeve të përgjithshme të IPsec e hedhin poshtë. Shkruani emrin e funksionit në regjistrin e ndryshimeve pranë atyre porteve. Shtoni versionin ose datën e referencës që përdorët, sepse tabelat e furnizuesve redaktohen. Një rregull që emërton shërbimin për të cilin ekziston mund të rishikohet; një që emërton një kategori protokolli, jo.

Shkruaje përjashtimin si kontratë, jo si favor

Përjashtimi deklaron funksionin e lejuar, klasat e pajisjeve që e përdorin, transportin e nevojshëm dhe destinacionet që dokumenton pala përgjegjëse. Ai mbart gjithashtu një pronar dhe një datë rishikimi, sepse pikat fundore të operatorit dhe modelet e aparateve ndryshojnë pa njoftuar ekipin e murit të zjarrit. Rishikimin jepja një personi dhe jo një emri ekipi që do t'i mbijetojë ekipit. Mbaje formulimin mjaftueshëm specifik që një i huaj të mund ta nxjerrë rregullin vetëm nga regjistri.

Vendose përjashtimin në të njëjtin cikël si pjesa tjetër e politikës së skajit, kështu që zhvendosja e një destinacioni nga operatori ose ndryshimi i modelit të aparatit në flotë të vihet re në rishikim dhe jo në ndërprerjen tjetër. Mbyll qarkun me atë që raportoi thirrjet e prishura, sepse vetëm ai mund të konfirmojë rregullimin pa rihapur tunelin që bllokimi duhej të mbyllte. Edhe ai konfirmim i përket regjistrit, me datë.

Një leje e përhershme e etiketuar si rregullim i përkohshëm telefoni është e pambrojtur dy vjet më vonë. Një leje e lidhur me një shërbim të identifikuar ka një skadim që rinovohet me qëllim.

Kufizo burimin me ndershmëri

Kufizimi i përjashtimit në një segment pajisjesh të menaxhuara është thelbësisht më i fortë sesa hapja e protokollit për çdo laptop në ndërtesë. Nëse rrjeti nuk mund ta identifikojë atë segment, shkruaje atë në vend që të lëshosh të kuptohet se rregulli i njeh pajisjet. Rezultati i mirë më i lirë është ripërdorimi i një kufiri që ekziston tashmë për një arsye tjetër, kështu që përjashtimi trashëgon një kontroll në vend që të shpikë një. Filtrimi sipas adresës nuk është vërtetim pajisjeje, dhe regjistri i ndryshimeve nuk duhet të sugjerojë të kundërtën.

Një adresë burimi ose një adresë harduerike nuk është provë e një aparati fizik. Nëse ndonjëra ka kuptim varet plotësisht nga kontrollet e tjera brenda atij segmenti. Nëse argumenti për rregullin mbështetet në një adresë MAC, kontrollo çfarë e pengon përdoruesin ta ndryshojë përpara se rregulli të dalë.

Prano atë që një rregull portesh nuk mund të thotë

Portet identifikojnë pikat fundore të transportit, jo qëllimin e biznesit. Kur një shërbim thirrjesh i miratuar dhe një tunel i pamiratuar kalojnë të dy në të njëjtin UDP 4500, asnjë rregull i bazuar në porte nuk i ndan. Një rregull që pretendon se e bën këtë duket i saktë dhe nuk është, gjë që është më keq se një rregull që e pranon formën e vet. Ky është një kufi i mekanizmit, jo një gabim i atij që e shkroi.

Thuaje këtë pranë rregullit dhe bashkoje përjashtimin me çdo zbatim që ka rrjeti, si menaxhimi i pajisjeve ose një listë destinacionesh të lejuara. Pastaj shprehe përjashtimin sa më ngushtë që lejon mjeti, për shembull me rregulla nftables që emërtojnë segmentin dhe çiftin e porteve dhe vendosin mohimin e përgjithshëm pas tyre:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables vlerëson sipas rendit dhe ndalon në përputhjen e parë, prandaj lejimi i kufizuar duhet të qëndrojë mbi mohimin e përgjithshëm. Ndërroji dhe përjashtimi nuk bën asgjë në heshtje.

Vërteto funksionin dhe mohimin

Kryej vërtetimin e miratuar në një thirrje normale Wi-Fi, nga klasa e pajisjeve për të cilën ekziston përjashtimi, dhe konfirmo që një klient i përjashtuar ende dështon. Asnjëherë dhe në asnjë rrethanë mos përdor thirrjet e urgjencës si rast prove. Pastaj inspekto rregullin e lëshuar, sepse një numërues i ngrirë në zero është prova më e shpejtë që përjashtimi nuk u përputh kurrë:

nft -a list chain inet edge forward

Përfshij në provë një rilidhje ose një ndryshim rrjeti dhe përsërite nga një nisje e ftohtë, me telefonin që i bashkohet rrjetit në vend që të jetë i lidhur tashmë. Nëse numëruesi lëviz ndërsa thirrjet ende dështojnë, problemi ka lënë murin e zjarrit dhe i përket listës së destinacioneve të operatorit.