IPsec-ի արգելափակումը՝ առանց հեռախոսի Wi-Fi Calling-ը կոտրելու
Վեց ստուգում համընդհանուր արձանագրային արգելքը դարձնում են պաշտպանելի ծառայության բացառություն՝ գործառույթը, աղբյուրը, նպատակակետերը, սահմանը և վերանայման ամսաթիվը։
Հարցումը միշտ գալիս է նույն ձևով. փակեք IPsec-ը եզրին, որովհետև այն տեղափոխում է թունելներ, որոնք ոչ ոք չի հաստատել, և առաջին բողոքը գալիս է նրանից, ում հեռախոսը դադարել է զանգեր կատարել Wi-Fi-ով։ Երկու փաստերն էլ ճշմարիտ են միաժամանակ, և ոչ մեկը չի արդարացնում հսկողությունը թողնելը։ Այն, ինչ պետք է պատին, անվանված գործառույթով, սահմանափակ աղբյուրով, փաստաթղթավորված նպատակակետերով և պատասխանատուով ծառայության բացառություն է։ Հինգ քայլ այն դարձնում են կանոն, որը անծանոթը հաջորդ տարի կկարողանա վերանայել։
Անվանեք ծառայությունը, նախքան արձանագրությունը անվանելը
SIP ծառայության վրա աշխատող սեղանի հեռախոսը և օպերատորի Wi-Fi Calling-ը կատարող սարքը չեն կիսում նույն ցանցային պրոֆիլը, և VoIP-ը որպես պատի տերմին չի նկարագրում նրանցից ոչ մեկին։ Պորտի և նպատակակետի տվյալները պետք է գան այն մատակարարից կամ օպերատորից, որը սպասարկում է ծառայությունը, այլ ոչ թե մեկ այլ հեռախոսային համակարգի հիշված պորտերի ցանկից։ Սա է տարբերությունը գործառույթը պաշտպանող կանոնի և բառը պաշտպանող կանոնի միջև։
Apple-ի ծառայության պորտերի տեղեկագիրը նշում է UDP 500 և 4500 Wi-Fi Calling-ի համար, ինչը հենց այն զույգն է, որը բաց են թողնում համընդհանուր IPsec արգելքների մեծ մասը։ Գրեք գործառույթի անունը փոփոխության գրանցամատյանում այդ պորտերի կողքին։ Ավելացրեք ձեր օգտագործած տեղեկագրի տարբերակը կամ ամսաթիվը, որովհետև մատակարարների աղյուսակները խմբագրվում են։ Կանոնը, որը նշում է այն ծառայությունը, որի համար գոյություն ունի, ենթակա է վերանայման. որը նշում է արձանագրության կատեգորիա, ոչ։
Գրեք բացառությունը որպես պայմանագիր, ոչ որպես բարություն
Բացառությունը նշում է թույլատրված գործառույթը, այն օգտագործող սարքերի դասերը, անհրաժեշտ տրանսպորտը և այն նպատակակետերը, որոնք փաստաթղթավորում է պատասխանատու կողմը։ Այն կրում է նաև պատասխանատու և վերանայման ամսաթիվ, որովհետև օպերատորի վերջնակետերը և սարքերի մոդելները փոխվում են՝ չտեղեկացնելով պատի թիմին։ Վերանայումը տվեք մարդու, այլ ոչ թե թիմի անվան, որը կապրի ավելի երկար, քան թիմը։ Պահեք ձևակերպումը բավական հստակ, որպեսզի անծանոթը կարողանա կանոնը վերականգնել միայն գրանցամատյանից։
Դրեք բացառությունը նույն ցիկլի մեջ, ինչ եզրի մնացած քաղաքականությունը, որպեսզի օպերատորի նպատակակետ տեղափոխելը կամ հեռախոսների մոդելի փոխումը նկատվի վերանայման ժամանակ, ոչ թե հաջորդ խափանման ժամանակ։ Փակեք շրջանակը նրա հետ, ով հաղորդել է կոտրված զանգերի մասին, որովհետև միայն նա կարող է հաստատել ուղղումը՝ չվերաբացելով այն թունելը, որը արգելքը պետք է փակեր։ Այդ հաստատումը նույնպես պետք է լինի գրանցամատյանում՝ ամսաթվով։
Ժամանակավոր հեռախոսի շտկում պիտակված մշտական թույլտվությունը երկու տարի անց անպաշտպանելի է։ Նույնականացված ծառայությանը կապված թույլտվությունն ունի ժամկետ, որը երկարացվում է գիտակցաբար։
Սահմանափակեք աղբյուրը ազնվորեն
Բացառությունը կառավարվող սարքերի սեգմենտով սահմանափակելը զգալիորեն ավելի ամուր է, քան արձանագրությունը շենքի յուրաքանչյուր նոութբուքի համար բացելը։ Եթե ցանցը չի կարող ճանաչել այդ սեգմենտը, գրեք դա՝ փոխարենը չակնարկելով, թե կանոնը տեղյակ է սարքերից։ Ամենաէժան լավ արդյունքը այն սահմանի վերօգտագործումն է, որն արդեն գոյություն ունի այլ պատճառով, այնպես որ բացառությունը ժառանգում է հսկողություն՝ փոխարենը հորինելու։ Հասցեով զտումը սարքի նույնականացում չէ, և փոփոխության գրանցամատյանը չպետք է հակառակը հուշի։
Աղբյուրի հասցեն կամ սարքաշարի հասցեն ֆիզիկական սարքի ապացույց չեն։ Դրանցից որևէ մեկի իմաստը լինելը լիովին կախված է այդ սեգմենտի ներսի այլ հսկողություններից։ Եթե կանոնի փաստարկը հենվում է MAC հասցեի վրա, ստուգեք, թե ինչն է խանգարում օգտատիրոջը փոխել այն, նախքան կանոնը կուղարկվի։
Ընդունեք, ինչ պորտի կանոնը չի կարող ասել
Պորտերը նույնականացնում են տրանսպորտի վերջնակետերը, ոչ թե գործարար մտադրությունը։ Երբ հաստատված զանգերի ծառայությունը և չհաստատված թունելը երկուսն էլ անցնում են UDP 4500-ով, ոչ մի պորտային կանոն չի բաժանում նրանց։ Կանոնը, որը պնդում է դա անել, թվում է ճշգրիտ և այդպիսին չէ, ինչն ավելի վատ է, քան իր ձևը խոստացող կանոնը։ Սա մեխանիզմի սահմանն է, ոչ թե գրողի սխալը։
Ասացեք դա կանոնի կողքին և բացառությունը զուգակցեք ցանցի այն կիրառման հետ, ինչ կա՝ օրինակ սարքերի կառավարում կամ թույլատրված նպատակակետերի ցանկ։ Այնուհետև արտահայտեք բացառությունը հնարավորինս նեղ, ինչպես գործիքը թույլ է տալիս, օրինակ nftables կանոններով, որոնք անվանում են սեգմենտը և պորտերի զույգը և ընդհանուր արգելքը դնում են դրանցից հետո։
nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter dropnftables-ը գնահատում է հերթականությամբ և կանգ է առնում առաջին համընկնման վրա, ուստի սահմանափակ թույլտվությունը պետք է լինի ընդհանուր արգելքից վեր։ Փոխեք դրանք տեղերով, և բացառությունը լուռ ոչինչ չի անի։
Ստուգեք գործառույթը և արգելքը
Կատարեք հաստատված ստուգումը սովորական Wi-Fi զանգի վրա՝ այն սարքերի դասից, որի համար գոյություն ունի բացառությունը, և հաստատեք, որ բացառված հաճախորդը դեռ ձախողվում է։ Երբեք և ոչ մի պարագայում չօգտագործեք շտապ զանգերը որպես փորձարկման դեպք։ Այնուհետև ստուգեք ուղարկված կանոնը, որովհետև զրոյի վրա սառած հաշվիչը ամենաարագ ապացույցն է, որ բացառությունը երբեք չի համընկել։
nft -a list chain inet edge forwardՆերառեք փորձարկման մեջ վերամիացում կամ ցանցի փոփոխություն և կրկնեք այն սառը մեկնարկից, երբ հեռախոսը միանում է ցանցին, այլ ոչ թե արդեն միացած է։ Եթե հաշվիչը շարժվում է, մինչ զանգերը դեռ ձախողվում են, ապա խնդիրը լքել է պատը և պատկանում է օպերատորի նպատակակետերի ցանկին։