Блокирање IPsec-а без кварења Wi-Fi Calling-а на телефону

Захтев увек долази у истом облику: затворите IPsec на ивици јер преноси тунеле које нико није одобрио, а прва жалба долази од особе чији је телефон престао да обавља позиве преко Wi-Fi-ја. Обе чињенице су истовремено тачне и ниједна не оправдава напуштање контроле. Оно што заштитном зиду треба јесте изузетак за услугу са именованом функцијом, ограниченим извором, документованим одредиштима и власником. Пет корака то претварају у правило које странац може да прегледа следеће године.

Именујте услугу пре него што именујете протокол

Стони телефон на SIP услузи и уређај који обавља Wi-Fi Calling оператера не деле исти мрежни профил, а VoIP као појам заштитног зида не описује ниједан од њих. Подаци о портовима и одредиштима морају да дођу од добављача или оператера који управља услугом, а не из запамћене листе портова која припада другом телефонском систему. То је разлика између правила које штити функцију и правила које штити реч.

Apple-ов преглед сервисних портова наводи UDP 500 и 4500 за Wi-Fi Calling, што је управо пар који већина целовитих IPsec блокада одбацује. Упишите назив функције у запис о промени поред тих портова. Додајте верзију или датум прегледа који сте користили, јер се табеле добављача уређују. Правило које именује услугу због које постоји може да се прегледа; оно које именује категорију протокола не може.

Напишите изузетак као уговор, а не као услугу

Изузетак наводи дозвољену функцију, класе уређаја које је користе, потребан транспорт и одредишта која документује одговорна страна. Носи и власника и датум прегледа, јер се завршне тачке оператера и модели уређаја мењају без обавештавања тима заштитног зида. Доделите преглед особи, а не имену тима које ће надживети тим. Држите формулацију довољно прецизном да странац може да изведе правило само из записа.

Ставите изузетак у исти циклус као остатак политике ивице, како би се премештање одредишта код оператера или замена модела у флоти приметила на прегледу, а не при следећем прекиду. Затворите петљу са оним ко је пријавио покварене позиве, јер само он може да потврди поправку без поновног отварања тунела који је блокада требало да затвори. Та потврда такође припада запису, са датумом.

Трајна дозвола означена као привремена поправка телефона није одбрањива две године касније. Дозвола везана за идентификовану услугу има рок који се намерно обнавља.

Ограничите извор искрено

Ограничавање изузетка на управљани сегмент уређаја значајно је јаче од отварања протокола за сваки преносни рачунар у згради. Ако мрежа не може да идентификује тај сегмент, запишите то уместо да наговештавате да правило познаје уређаје. Најјефтинији добар исход је поновно коришћење границе која већ постоји из другог разлога, па изузетак наслеђује контролу уместо да измишља нову. Филтрирање по адреси није аутентикација уређаја и запис о промени не сме да наговештава супротно.

Адреса извора или хардверска адреса није доказ физичког уређаја. Да ли било која од њих има значење зависи искључиво од других контрола унутар тог сегмента. Ако се аргумент за правило ослања на MAC адресу, проверите шта спречава корисника да је промени пре него што правило буде пуштено.

Прихватите шта правило порта не може да вам каже

Портови идентификују транспортне завршне тачке, а не пословну намеру. Када одобрена услуга позива и неодобрени тунел иду преко истог UDP 4500, ниједно правило засновано на порту их не раздваја. Правило које тврди да то чини изгледа прецизно, а није, што је горе од правила које признаје сопствени облик. То је ограничење механизма, а не грешка особе која га је написала.

Реците то поред правила и споите изузетак са оним спровођењем које мрежа има, попут управљања уређајима или листе дозвољених одредишта. Затим изразите изузетак што је уже могуће, на пример правилима nftables која именују сегмент и пар портова, а општу забрану стављају после њих:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables вреднује по реду и зауставља се на првом поклапању, па ограничено допуштање мора да стоји изнад опште забране. Замените их и изузетак тихо не ради ништа.

Проверите функцију и забрану

Спроведите одобрену проверу на обичном Wi-Fi позиву, из класе уређаја због које изузетак постоји, и потврдите да искључени клијент и даље не пролази. Никада и ни под којим условима не користите хитне позиве као тест случај. Затим прегледајте правило које је пуштено, јер бројач заглављен на нули најбржи је доказ да се изузетак никада није поклопио:

nft -a list chain inet edge forward

Укључите поновно повезивање или промену мреже у тест и поновите га из хладног старта, када се телефон придружује мрежи, а не када је већ повезан. Ако се бројач помера, а позиви и даље не пролазе, проблем је напустио заштитни зид и припада листи одредишта оператера.