Telefonun Wi-Fi Calling funksiyasını pozmadan IPsec-i bloklamaq

Sorğu həmişə eyni formada gəlir: kənarda IPsec-i bağlayın, çünki o, heç kimin təsdiqləmədiyi tunellər daşıyır, və ilk şikayət telefonu Wi-Fi üzərindən zəng etməyi dayandıran adamdan gəlir. Hər iki fakt eyni anda doğrudur və heç biri nəzarətdən imtina etməyi əsaslandırmır. Firewall-a lazım olan şey adı çəkilmiş funksiya, məhdud mənbə, sənədləşdirilmiş hədəflər və sahibi olan xidmət istisnasıdır. Beş addım bunu gələn il kənar şəxsin yoxlaya biləcəyi qaydaya çevirir.

Protokolu adlandırmazdan əvvəl xidməti adlandırın

SIP xidmətindəki masa telefonu ilə operatorun Wi-Fi Calling funksiyasını yerinə yetirən aparat eyni şəbəkə profilini paylaşmır və firewall termini kimi VoIP onların heç birini təsvir etmir. Port və hədəf məlumatları başqa telefon sisteminə aid yadda qalmış port siyahısından deyil, xidməti idarə edən təchizatçıdan və ya operatordan gəlməlidir. Bu, funksiyanı qoruyan qayda ilə sözü qoruyan qayda arasındakı fərqdir.

Apple-ın xidmət portları arayışı Wi-Fi Calling üçün UDP 500 və 4500 sadalayır ki, bu da adətən hər şeyi əhatə edən IPsec bloklarının atdığı dəqiq cütdür. Funksiyanın adını həmin portların yanında dəyişiklik qeydinə yazın. İstifadə etdiyiniz arayışın versiyasını və ya tarixini əlavə edin, çünki təchizatçı cədvəlləri redaktə olunur. Var olduğu xidməti adlandıran qayda yoxlanıla bilər; protokol kateqoriyasını adlandıran isə yox.

İstisnanı lütf kimi deyil, müqavilə kimi yazın

İstisna icazə verilən funksiyanı, ondan istifadə edən cihaz siniflərini, tələb etdiyi nəqli və məsul tərəfin sənədləşdirdiyi hədəfləri göstərir. O, həmçinin sahib və baxış tarixi daşıyır, çünki operatorun son nöqtələri və aparat modelləri firewall komandasına xəbər vermədən dəyişir. Baxışı komandanın adına deyil, konkret şəxsə həvalə edin. İfadəni kifayət qədər dəqiq saxlayın ki, kənar şəxs qaydanı yalnız qeyddən bərpa edə bilsin.

İstisnanı kənar siyasətinin qalan hissəsi ilə eyni dövrəyə qoyun ki, operatorun hədəfi köçürməsi və ya parkın aparat modelini dəyişməsi növbəti nasazlıqda deyil, baxış zamanı hiss olunsun. Dövrəni sınıq zəngləri bildirən şəxslə bağlayın, çünki blokun bağlamaq istədiyi tuneli yenidən açmadan düzəlişi təsdiqləyə bilən yeganə adam odur. Bu təsdiq də tarixi ilə birlikdə qeydə düşməlidir.

Müvəqqəti telefon düzəlişi kimi işarələnmiş daimi icazə iki il sonra müdafiə oluna bilməz. Müəyyən edilmiş xidmətə bağlanmış icazənin isə qəsdən yenilənən bitmə tarixi var.

Mənbəyi dürüst şəkildə məhdudlaşdırın

İstisnanı idarə olunan cihaz seqmenti ilə məhdudlaşdırmaq protokolu binadakı hər noutbuk üçün açmaqdan qat-qat güclüdür. Şəbəkə həmin seqmenti müəyyən edə bilmirsə, qaydanın cihazları nəzərə aldığını ima etmək əvəzinə bunu yazın. Ən ucuz yaxşı nəticə artıq başqa səbəbdən mövcud olan sərhədi təkrar istifadə etməkdir ki, istisna yenisini icad etmək əvəzinə nəzarəti miras alsın. Ünvana görə filtrləmə cihaz autentifikasiyası deyil və dəyişiklik qeydi bunun əksini deməməlidir.

Mənbə ünvanı və ya aparat ünvanı fiziki aparatın sübutu deyil. Onlardan hər hansı birinin məna daşıması tamamilə həmin seqmentdəki digər nəzarətlərdən asılıdır. Qaydanın arqumenti MAC ünvanına dayanırsa, qayda buraxılmazdan əvvəl istifadəçinin onu dəyişməsinə nə mane olduğunu yoxlayın.

Port qaydasının deyə bilmədiyini qəbul edin

Portlar nəqliyyat son nöqtələrini müəyyən edir, biznes niyyətini yox. Təsdiqlənmiş zəng xidməti ilə təsdiqlənməmiş tunel eyni UDP 4500 üzərindən getdikdə, heç bir port əsaslı qayda onları ayırmır. Bunu etdiyini iddia edən qayda dəqiq görünür, amma deyil, bu da öz formasını qəbul edən qaydadan pisdir. Bu, mexanizmin həddidir, onu yazan şəxsin səhvi deyil.

Bunu qaydanın yanında yazın və istisnanı şəbəkənin malik olduğu icra vasitəsi ilə, məsələn cihaz idarəetməsi və ya hədəf icazə siyahısı ilə birləşdirin. Sonra istisnanı alətin imkan verdiyi qədər dar ifadə edin, məsələn seqmenti və port cütünü adlandıran, ümumi qadağanı isə onlardan sonra qoyan nftables qaydaları:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables ardıcıllıqla qiymətləndirir və ilk uyğunluqda dayanır, ona görə məhdud icazə ümumi qadağanın üstündə olmalıdır. İkisinin yerini dəyişsəniz, istisna səssizcə heç nə etməz.

Funksiyanı və qadağanı yoxlayın

Təsdiqlənmiş yoxlamanı adi Wi-Fi zəngi üzərində, istisnanın var olduğu cihaz sinfindən aparın və kənarlaşdırılmış müştərinin hələ də uğursuz olduğunu təsdiqləyin. Heç bir halda təcili zəngləri sınaq halı kimi istifadə etməyin. Sonra buraxılmış qaydayı yoxlayın, çünki sıfırda donmuş sayğac istisnanın heç vaxt uyğunlaşmadığının ən sürətli sübutudur:

nft -a list chain inet edge forward

Testə yenidən qoşulma və ya şəbəkə dəyişikliyini daxil edin və onu telefonun artıq qoşulduğu deyil, şəbəkəyə yeni qoşulduğu soyuq başlanğıcdan təkrarlayın. Sayğac hərəkət edirsə, zənglər hələ də uğursuz olursa, problem firewall-dan çıxıb və operatorun hədəf siyahısına aiddir.