ফোনের Wi-Fi Calling না ভেঙে IPsec ব্লক করা

অনুরোধটি সর্বদা একই আকারে আসে: প্রান্তে IPsec বন্ধ করুন, কারণ এটি এমন টানেল বহন করে যা কেউ অনুমোদন করেনি, আর প্রথম অভিযোগ আসে এমন একজনের কাছ থেকে যার ফোন Wi-Fi-তে কল করা বন্ধ করে দিয়েছে। দুটি তথ্যই একসঙ্গে সত্য, এবং কোনোটিই নিয়ন্ত্রণ ছেড়ে দেওয়ার ন্যায্যতা দেয় না। ফায়ারওয়ালের যা দরকার তা হলো নামযুক্ত বৈশিষ্ট্য, সীমিত উৎস, নথিভুক্ত গন্তব্য এবং একজন মালিকসহ একটি পরিষেবা-ব্যতিক্রম। পাঁচটি ধাপ এটিকে এমন একটি নিয়মে পরিণত করে যা আগামী বছর একজন অপরিচিত ব্যক্তি পর্যালোচনা করতে পারবেন।

প্রোটোকলের নাম দেওয়ার আগে পরিষেবার নাম দিন

SIP পরিষেবার একটি ডেস্ক ফোন এবং ক্যারিয়ারের Wi-Fi Calling করা একটি হ্যান্ডসেট একই নেটওয়ার্ক প্রোফাইল ভাগ করে না, এবং ফায়ারওয়াল পরিভাষা হিসেবে VoIP এদের কোনোটিকেই বর্ণনা করে না। পোর্ট ও গন্তব্যের তথ্য অবশ্যই সেই বিক্রেতা বা ক্যারিয়ার থেকে আসতে হবে যে পরিষেবাটি চালায়, অন্য ফোন সিস্টেমের স্মৃতিতে থাকা পোর্ট তালিকা থেকে নয়। এটাই একটি বৈশিষ্ট্য রক্ষা করা নিয়ম আর একটি শব্দ রক্ষা করা নিয়মের মধ্যে পার্থক্য।

Apple-এর পরিষেবা-পোর্ট রেফারেন্স -এ Wi-Fi Calling-এর জন্য UDP 500 এবং 4500 তালিকাভুক্ত আছে, যা ঘটনাক্রমে সেই জোড়া যা বেশিরভাগ ব্যাপক IPsec ব্লক বাদ দেয়। ওই পোর্টগুলোর পাশে পরিবর্তন রেকর্ডে বৈশিষ্ট্যের নাম লিখুন। আপনি যে রেফারেন্স ব্যবহার করেছেন তার সংস্করণ বা তারিখ যোগ করুন, কারণ বিক্রেতার সারণি সম্পাদিত হয়। যে নিয়ম তার অস্তিত্বের পরিষেবার নাম বলে তা পর্যালোচনাযোগ্য; যা প্রোটোকল শ্রেণির নাম বলে তা নয়।

ব্যতিক্রমটি অনুগ্রহ নয়, চুক্তি হিসেবে লিখুন

ব্যতিক্রমে অনুমোদিত বৈশিষ্ট্য, যে ডিভাইস শ্রেণিগুলো এটি ব্যবহার করে, যে ট্রান্সপোর্ট এটি প্রয়োজন, এবং দায়িত্বশীল পক্ষ যে গন্তব্য নথিভুক্ত করে তা উল্লেখ থাকে। এতে একজন মালিক ও একটি পর্যালোচনার তারিখও থাকে, কারণ ক্যারিয়ারের এন্ডপয়েন্ট ও হ্যান্ডসেট মডেল ফায়ারওয়াল দলকে না জানিয়েই বদলে যায়। পর্যালোচনাটি এমন একটি দলের নামের বদলে একজন ব্যক্তিকে দিন যা দলটির চেয়ে বেশি দিন টিকবে। শব্দচয়ন যথেষ্ট নির্দিষ্ট রাখুন যাতে একজন অপরিচিত ব্যক্তি কেবল রেকর্ড থেকেই নিয়মটি পুনরুদ্ধার করতে পারেন।

ব্যতিক্রমটি প্রান্ত নীতির বাকি অংশের সঙ্গে একই চক্রে রাখুন, যাতে কোনো ক্যারিয়ার গন্তব্য সরালে বা কোনো বহর হ্যান্ডসেট মডেল বদলালে তা পরবর্তী বিভ্রাটে নয়, পর্যালোচনাতেই ধরা পড়ে। যিনি ভাঙা কলগুলো জানিয়েছেন তার সঙ্গে চক্রটি বন্ধ করুন, কারণ ব্লকটি যে টানেল বন্ধ করার কথা ছিল তা আবার না খুলেই সমাধান নিশ্চিত করতে পারেন কেবল তিনি। সেই নিশ্চিতকরণও তারিখসহ রেকর্ডে থাকা উচিত।

অস্থায়ী ফোন সমাধান হিসেবে লেবেল করা স্থায়ী অনুমতি দুই বছর পর রক্ষণীয় নয়। চিহ্নিত পরিষেবার সঙ্গে বাঁধা অনুমতির একটি মেয়াদ থাকে যা সচেতনভাবেই নবায়ন হয়।

উৎসের পরিধি সৎভাবে নির্ধারণ করুন

ব্যতিক্রমটি একটি ব্যবস্থাপিত ডিভাইস সেগমেন্টে সীমাবদ্ধ করা ভবনের প্রতিটি ল্যাপটপের জন্য প্রোটোকল খোলার চেয়ে অনেক বেশি শক্তিশালী। নেটওয়ার্ক যদি ওই সেগমেন্ট চিনতে না পারে, তবে নিয়মটি ডিভাইস-সচেতন বলে ইঙ্গিত দেওয়ার বদলে তা লিখে রাখুন। সবচেয়ে সস্তা ভালো ফল হলো অন্য কারণে ইতিমধ্যে বিদ্যমান একটি সীমানা পুনর্ব্যবহার করা, যাতে ব্যতিক্রমটি নতুন নিয়ন্ত্রণ উদ্ভাবনের বদলে একটি নিয়ন্ত্রণ উত্তরাধিকারে পায়। ঠিকানা দিয়ে ফিল্টার করা ডিভাইস প্রমাণীকরণ নয়, এবং পরিবর্তন রেকর্ডে অন্যথা বোঝানো উচিত নয়।

উৎসের ঠিকানা বা হার্ডওয়্যার ঠিকানা কোনো বাস্তব হ্যান্ডসেটের প্রমাণ নয়। এর কোনোটির অর্থ আছে কি না তা সম্পূর্ণভাবে ওই সেগমেন্টের ভেতরের অন্য নিয়ন্ত্রণগুলোর উপর নির্ভর করে। নিয়মের পক্ষের যুক্তি যদি MAC ঠিকানার উপর দাঁড়ায়, তবে নিয়মটি চালু হওয়ার আগে ব্যবহারকারীকে তা বদলাতে কী বাধা দেয় তা যাচাই করুন।

পোর্ট নিয়ম যা বলতে পারে না তা মেনে নিন

পোর্ট ট্রান্সপোর্ট এন্ডপয়েন্ট চিহ্নিত করে, ব্যবসায়িক উদ্দেশ্য নয়। যখন একটি অনুমোদিত কলিং পরিষেবা ও একটি অননুমোদিত টানেল একই UDP 4500-এ চলে, তখন কোনো পোর্টভিত্তিক নিয়ম তাদের আলাদা করে না। যে নিয়ম তা করার দাবি করে তা নির্ভুল দেখায় অথচ নয়, যা নিজের আকৃতি স্বীকার করা নিয়মের চেয়ে খারাপ। এটি প্রক্রিয়ার সীমাবদ্ধতা, যিনি লিখেছেন তার ভুল নয়।

নিয়মের পাশে এটি লিখুন, এবং ব্যতিক্রমটিকে নেটওয়ার্কের যে প্রয়োগ আছে তার সঙ্গে জুড়ে দিন, যেমন ডিভাইস ব্যবস্থাপনা বা গন্তব্য-অনুমোদিত তালিকা। তারপর উপকরণ যতটা অনুমতি দেয় ততটা সংকীর্ণভাবে ব্যতিক্রমটি প্রকাশ করুন, উদাহরণস্বরূপ nftables নিয়ম দিয়ে যা সেগমেন্ট ও পোর্ট জোড়ার নাম বলে এবং সাধারণ নিষেধ তাদের পরে রাখে:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables ক্রমানুসারে মূল্যায়ন করে এবং প্রথম মিলেই থামে, তাই সীমিত অনুমোদনটি সাধারণ নিষেধের উপরে থাকতে হবে। দুটো উল্টে দিলে ব্যতিক্রমটি নীরবে কিছুই করে না।

বৈশিষ্ট্য ও নিষেধ যাচাই করুন

অনুমোদিত যাচাই একটি সাধারণ Wi-Fi কলের উপর চালান, যে ডিভাইস শ্রেণির জন্য ব্যতিক্রমটি আছে তা থেকেই, এবং নিশ্চিত করুন যে বাদ দেওয়া কোনো ক্লায়েন্ট এখনও ব্যর্থ হয়। কোনো অবস্থাতেই জরুরি কল পরীক্ষার উদাহরণ হিসেবে ব্যবহার করবেন না। এরপর যে নিয়মটি চালু হয়েছে তা পরীক্ষা করুন, কারণ শূন্যে আটকে থাকা কাউন্টারই দ্রুততম প্রমাণ যে ব্যতিক্রমটি কখনো মেলেনি:

nft -a list chain inet edge forward

পরীক্ষায় একটি পুনঃসংযোগ বা নেটওয়ার্ক পরিবর্তন অন্তর্ভুক্ত করুন, এবং ফোনটি নেটওয়ার্কে আগে থেকেই যুক্ত থাকার বদলে নতুন করে যোগ দেওয়ার ঠান্ডা শুরু থেকে তা পুনরাবৃত্তি করুন। কাউন্টার এগোচ্ছে অথচ কল এখনও ব্যর্থ হলে সমস্যাটি ফায়ারওয়াল ছেড়ে ক্যারিয়ারের গন্তব্য তালিকায় চলে গেছে।