IPsec blokeatzea telefonoaren Wi-Fi Calling hautsi gabe

Eskaera beti forma berean iristen da: itxi IPsec ertzean, inork onartu ez dituen tunelak daramatzala eta, eta lehen kexa Wi-Fi bidez deitzeari utzi dion norbaitengandik dator. Bi egitateak aldi berean dira egiazkoak, eta batek ere ez du kontrolari uko egitea justifikatzen. Suhormak behar duena funtzio izendatua, iturri mugatua, dokumentatutako helmugak eta arduradun bat dituen zerbitzu-salbuespena da. Bost urratsek hori datorren urtean arrotz batek berrikusi ahal izango duen arau bihurtzen dute.

Izenda ezazu zerbitzua protokoloa izendatu aurretik

SIP zerbitzu bateko mahaiko telefonoak eta operadorearen Wi-Fi Calling egiten duen gailuak ez dute sare-profil bera partekatzen, eta VoIPek suhorma-termino gisa ez du bat ere deskribatzen. Portu eta helmuga datuak zerbitzua kudeatzen duen hornitzaile edo operadorearengandik etorri behar dira, ez beste telefono-sistema bati dagokion gogoratutako portu-zerrendatik. Hori da funtzio bat babesten duen arauaren eta hitz bat babesten duen arauaren arteko aldea.

Apple-ren zerbitzu-portuen erreferentziak UDP 500 eta 4500 zerrendatzen ditu Wi-Fi Calling-erako, eta hori da, hain zuzen, IPsec blokeo orokor gehienek baztertzen duten bikotea. Idatzi funtzioaren izena aldaketa-erregistroan portu horien ondoan. Gehitu erabili duzun erreferentziaren bertsioa edo data, hornitzaileen taulak editatu egiten baitira. Badago zerbitzua izendatzen duen araua berrikusterik; protokolo-kategoria bat izendatzen duena, ez.

Idatzi salbuespena kontratu gisa, ez mesede gisa

Salbuespenak baimendutako funtzioa, hura erabiltzen duten gailu-klaseak, behar duen garraioa eta alderdi arduradunak dokumentatzen dituen helmugak adierazten ditu. Arduradun bat eta berrikuspen-data bat ere badaramatza, operadorearen muturrak eta gailuen modeloak suhorma-taldeari jakinarazi gabe aldatzen baitira. Eman berrikuspena pertsona bati, taldea baino gehiago iraungo duen talde-izen bati beharrean. Eduki ezazu idazkera nahikoa zehatza arrotz batek erregistrotik bakarrik araua erator dezan.

Jarri salbuespena ertz-politikaren gainerakoaren ziklo berean, operadore batek helmuga bat mugitzen duenean edo flota batek gailu-modeloa aldatzen duenean berrikuspenean nabaritu dadin, hurrengo etenaldian ez. Itxi zirkulua dei hautsiak jakinarazi zituenarekin, berak bakarrik baitu konponketa berretsi dezakeena blokeoak itxi behar zuen tunela berriro ireki gabe. Berrespen hori ere erregistroan sartu behar da, datarekin.

Telefono-konponketa behin-behineko gisa etiketatutako baimen iraunkorra defendaezina da bi urte geroago. Identifikatutako zerbitzu bati lotutako baimenak nahita berritzen den iraungitzea du.

Mugatu iturria zintzotasunez

Salbuespena kudeatutako gailu-segmentu batera mugatzea askoz ere sendoagoa da eraikineko ordenagailu eramangarri bakoitzari protokoloa irekitzea baino. Sareak segmentu hori identifikatu ezin badu, idatzi hori, arauak gailuak ezagutzen dituela iradoki beharrean. Emaitza onik merkeena beste arrazoi batengatik jada badagoen muga bat berrerabiltzea da, salbuespenak kontrola bat hereda dezan, asmatu beharrean. Helbidearen araberako iragazketa ez da gailuen autentifikazioa, eta aldaketa-erregistroak ez luke kontrakoa iradoki behar.

Iturri-helbidea edo hardware-helbidea ez da gailu fisiko baten froga. Bietako batek esanahia duen ala ez segmentu horren barruko beste kontrolen mende dago erabat. Arauaren argudioa MAC helbide batean oinarritzen bada, egiaztatu nork eragozten dion erabiltzaileari hura aldatzea arauak irten aurretik.

Onartu portu-arau batek esan ezin dizuna

Portuek garraio-muturrak identifikatzen dituzte, ez negozio-asmoa. Onartutako dei-zerbitzu bat eta onartu gabeko tunel bat UDP 4500 beretik bidaiatzen dutenean, portuan oinarritutako inongo arauk ez ditu bereizten. Hori egiten duela dioen arauak zehatza dirudi eta ez da, bere forma aitortzen duen araua baino okerragoa dena. Mekanismoaren muga da, ez hura idatzi zuenaren akatsa.

Esan ezazu arauaren ondoan, eta elkartu salbuespena sareak duen betearazpenarekin, hala nola gailuen kudeaketa edo helmuga baimenduen zerrenda. Gero adierazi salbuespena tresnak ahalik eta estuena, adibidez segmentua eta portu-bikotea izendatzen dituzten eta debeku orokorra haien ondoren jartzen duten nftables arauekin:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftablesek ordenan ebaluatzen du eta lehen bat-etortzean gelditzen da, beraz, onarpen mugatuak debeku orokorraren gainetik egon behar du. Trukatu biak eta salbuespenak isilik ez du ezer egiten.

Balioztatu funtzioa eta debekua

Exekutatu onartutako balioztapena Wi-Fi dei arrunt batean, salbuespena existitzen den gailu-klasetik, eta berretsi kanporatutako bezero batek huts egiten jarraitzen duela. Ez erabili inoiz larrialdiko deirik proba-kasu gisa, inolako baldintzatan. Ondoren aztertu irten zen araua, zeroan itsatsita dagoen kontagailua baita salbuespenak inoiz bat egin ez zuelako probarik azkarrena:

nft -a list chain inet edge forward

Sartu proban berriz konektatze bat edo sare-aldaketa bat, eta errepikatu hasiera hotzetik, telefonoa sarean sartzen delarik, lehendik konektatuta egon beharrean. Kontagailua mugitzen bada deiek huts egiten jarraitzen duten bitartean, arazoa suhormatik atera da eta operadorearen helmuga-zerrendari dagokio.