Anroid IOS HK

yborlu

Herkese merhaba 2.4.2 versiyon PfSense güvenlik duvarının olduğu bilgisayar ağında Proxy üzerinden yapılandırma yapılmış ve kullanıcılara proxy üzerinden internet çıkışı verdiğimiz bir ortamda.
ağa girmesine izin verdiğimiz ios ve anroid telefonlara güncelleme olanağını nasıl verebiliriz.
Bunu yaptığımızda log kayıtlarını eksiksiz almamız lazım.


Date 	                        IP 	                   Status 	                Address 	                                                 User 	Destination
02.05.2018 17:50:21 	192.168.37.40 	TCP_TUNNEL/200 	settings.crashlytics.com:443 	        123456 	23.23.162.140    bağlantı var 
02.05.2018 17:49:35 	192.168.37.40 	TCP_TUNNEL/200 	wirofon.turktelekom.com.tr:443 	123456 	212.174.177.33  bağlantı var fakat program da hala bağlanıyor diyor.
02.05.2018 17:49:14 	192.168.37.40 	TCP_TUNNEL/200 	wirofon.turktelekom.com.tr:443 	123456 	212.174.177.33
02.05.2018 17:41:53 	192.168.37.xx 	        TCP_TUNNEL/200 	kurum.krm.gov.tr:443 	                123456 	12.222.236.xxx
02.05.2018 17:35:52 	192.168.37.xx 	        TCP_TUNNEL/200 	play.googleapis.com:443 	                123456 	172.217.18.10
02.05.2018 17:30:51 	192.168.37.40         TCP_DENIED/407 	android.clients.google.com:443 	- 	- ======= erişim red güncelleme istiyoruz

akula

Selamlar.
İlk önce sistemde ne kullandığını tam olarak belirtmen gerekli.

Melez bir sistem kullanıyorsan yani normal bağlantı (routing) ile sadece port 80 (http) transparent ve port 443 (https) ssl bump yapıyorsan;

firewall rules kısımını ayrıntılı incelemen ve logları sıkı takip etmen gerekli
proxy üzerinde log takibi yapman filtreleme kullanıyorsan onuda takip etmen gerekli.
ssl bump kullanımında çoğu uygulama sertifika yada güvenlik sorunları nedeniyle bağlantıyı red edebilir.
O.S. updateler için kullanılan belirli ipler (ve varsa belirli portlar) tespit edilerek firewall rules kısmına eklenmeli.

Eğer proxy harici pfsense routing yapmıyorsa, internet kesinlikle sadece proxy üzerinden veriliyorsa;

ios ve android lerin kesinlikle proxy ayarları yapılmış olmalı.
proxy üzerinde işlemi kesen kural varsa kaldırılmalı (boyut, cache vs..)
filreleme üzerinde update ile ilgili ip-domainlere izin verilip whitelist kuralına eklenmeli.
NOT : mobil O.S. eğer proxy dinlemeden direk erişim ile update yapıyorsa yukarıdaki seceneğe dönülmelidir.