Telefonun Wi-Fi Calling'ini bozmadan IPsec'i engellemek

Talep her zaman aynı biçimde gelir: IPsec'i kenarda kapatın çünkü kimsenin onaylamadığı tüneller taşıyor, ve ilk şikâyet telefonu Wi-Fi üzerinden arama yapmayı bırakan birinden gelir. İki olgu aynı anda doğrudur ve hiçbiri kontrolü bırakmayı haklı çıkarmaz. Güvenlik duvarının ihtiyacı olan şey, adlandırılmış özellik, sınırlandırılmış kaynak, belgelenmiş hedefler ve sahibi olan bir hizmet istisnasıdır. Beş adım bunu gelecek yıl bir yabancının gözden geçirebileceği bir kurala dönüştürür.

Protokolü adlandırmadan önce hizmeti adlandırın

SIP hizmetindeki bir masa telefonu ile operatörün Wi-Fi Calling'ini yapan bir cihaz aynı ağ profilini paylaşmaz ve güvenlik duvarı terimi olarak VoIP ikisini de tanımlamaz. Bağlantı noktası ve hedef verileri hizmeti işleten tedarikçiden veya operatörden gelmelidir, başka bir telefon sistemine ait akılda kalan bir port listesinden değil. Bu, bir özelliği koruyan kural ile bir kelimeyi koruyan kural arasındaki farktır.

Apple'ın hizmet bağlantı noktaları başvurusu Wi-Fi Calling için UDP 500 ve 4500'ü listeler ve bu, genel IPsec engellemelerinin çoğunun attığı tam olarak o çiftdir. Özelliğin adını değişiklik kaydına o bağlantı noktalarının yanına yazın. Kullandığınız başvurunun sürümünü veya tarihini ekleyin, çünkü tedarikçi tabloları düzenlenir. Var olma nedenini oluşturan hizmeti adlandıran kural gözden geçirilebilir; protokol kategorisini adlandıran geçemez.

İstisnayı lütuf değil sözleşme olarak yazın

İstisna izin verilen özelliği, onu kullanan cihaz sınıflarını, gereken taşımayı ve sorumlu tarafın belgelediği hedefleri belirtir. Ayrıca bir sahip ve bir gözden geçirme tarihi taşır, çünkü operatör uç noktaları ve cihaz modelleri güvenlik duvarı ekibine haber vermeden değişir. Gözden geçirmeyi ekibi atlatacak bir ekip adına değil bir kişiye verin. İfadeyi, yabancının kuralı yalnızca kayıttan yeniden türetebileceği kadar belirgin tutun.

İstisnayı kenar politikasının geri kalanıyla aynı döngüye koyun, böylece bir operatörün hedefi taşıması veya filonun cihaz modelini değiştirmesi bir sonraki kesintide değil gözden geçirmede fark edilir. Kopan aramaları bildirenle döngüyü kapatın, çünkü engellemenin kapatması gereken tüneli yeniden açmadan düzeltmeyi doğrulayabilecek tek kişi odur. O doğrulama da tarihiyle birlikte kayda aittir.

Geçici telefon tamiri diye etiketlenmiş kalıcı bir izin iki yıl sonra savunulamaz. Belirlenmiş bir hizmete bağlı iznin bilinçli olarak yenilenen bir son kullanma tarihi vardır.

Kaynağı dürüstçe sınırlayın

İstisnayı yönetilen bir cihaz segmentiyle sınırlamak, protokolü binadaki her dizüstü bilgisayara açmaktan önemli ölçüde güçlüdür. Ağ o segmenti tanımlayamıyorsa, kuralın cihazları bildiğini ima etmek yerine bunu yazın. En ucuz iyi sonuç, başka bir nedenle zaten var olan bir sınırı yeniden kullanmaktır; böylece istisna yeni bir kontrol icat etmek yerine birini devralır. Adrese göre filtreleme cihaz kimlik doğrulaması değildir ve değişiklik kaydı aksini ima etmemelidir.

Kaynak adresi veya donanım adresi fiziksel bir cihazın kanıtı değildir. Herhangi birinin anlam taşıyıp taşımadığı tamamen o segment içindeki diğer kontrollere bağlıdır. Kuralın gerekçesi bir MAC adresine dayanıyorsa, kural yayınlanmadan önce kullanıcının onu değiştirmesini neyin engellediğini kontrol edin.

Port kuralının size söyleyemeyeceğini kabul edin

Portlar taşıma uç noktalarını tanımlar, iş niyetini değil. Onaylanmış bir arama hizmeti ile onaylanmamış bir tünel aynı UDP 4500 üzerinden gittiğinde, hiçbir port tabanlı kural onları ayırmaz. Bunu yaptığını iddia eden bir kural kesin görünür ama değildir; bu, kendi biçimini kabul eden bir kuraldan daha kötüdür. Bu mekanizmanın sınırıdır, yazan kişinin hatası değildir.

Bunu kuralın yanına yazın ve istisnayı ağın sahip olduğu yaptırımla, örneğin cihaz yönetimi veya izin verilen hedef listesiyle eşleştirin. Sonra istisnayı araç ne kadar izin veriyorsa o kadar dar ifade edin, örneğin segmenti ve port çiftini adlandırıp genel reddi arkalarına koyan nftables kurallarıyla:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables sırayla değerlendirir ve ilk eşleşmede durur, bu yüzden sınırlı izin genel reddin üstünde olmalıdır. İkisini ters çevirin ve istisna sessizce hiçbir şey yapmaz.

Özelliği ve reddi doğrulayın

Onaylanmış doğrulamayı sıradan bir Wi-Fi aramasında, istisnanın var olduğu cihaz sınıfından çalıştırın ve dışlanan istemcinin hâlâ başarısız olduğunu onaylayın. Hiçbir koşulda acil aramaları test durumu olarak kullanmayın. Sonra yayınlanan kuralı inceleyin, çünkü sıfırda takılı bir sayaç istisnanın hiç eşleşmediğinin en hızlı kanıtıdır:

nft -a list chain inet edge forward

Teste yeniden bağlanma veya ağ değişikliği ekleyin ve telefonun zaten bağlı olması yerine ağa katıldığı soğuk bir başlangıçtan yineleyin. Sayaç hareket ederken aramalar hâlâ başarısız oluyorsa sorun güvenlik duvarını terk etmiştir ve operatörün hedef listesine aittir.