IPsec-ის დაბლოკვა ტელეფონის Wi-Fi Calling-ის დაუზიანებლად

მოთხოვნა ყოველთვის ერთი და იმავე ფორმით მოდის: დახურეთ IPsec კიდეზე, რადგან ის გადააქვს გვირაბებს, რომლებიც არავის დაუმტკიცებია, და პირველი საჩივარი მოდის ადამიანისგან, რომლის ტელეფონმაც Wi-Fi-ით ზარი შეწყვიტა. ორივე ფაქტი ერთდროულად ჭეშმარიტია და არცერთი არ ამართლებს კონტროლის მიტოვებას. რაც ფაირვოლს სჭირდება, არის სერვისის გამონაკლისი დასახელებული ფუნქციით, შეზღუდული წყაროთი, დოკუმენტირებული დანიშნულებებითა და პასუხისმგებელი პირით. ხუთი ნაბიჯი მას აქცევს წესად, რომელსაც უცხო ადამიანი მომავალ წელს გადახედავს.

დაასახელეთ სერვისი, სანამ პროტოკოლს დაასახელებთ

SIP სერვისზე მდგარი მაგიდის ტელეფონი და ოპერატორის Wi-Fi Calling-ის შემსრულებელი მოწყობილობა ერთსა და იმავე ქსელურ პროფილს არ იყოფს, და VoIP როგორც ფაირვოლის ტერმინი არცერთს არ აღწერს. პორტისა და დანიშნულების მონაცემები უნდა მოვიდეს იმ მომწოდებლისგან ან ოპერატორისგან, რომელიც სერვისს მართავს, და არა სხვა სატელეფონო სისტემის დამახსოვრებული პორტების სიიდან. ეს არის განსხვავება ფუნქციის დამცავ წესსა და სიტყვის დამცავ წესს შორის.

Apple-ის სერვისის პორტების ცნობარი Wi-Fi Calling-ისთვის UDP 500 და 4500-ს ჩამოთვლის, რაც ზუსტად ის წყვილია, რომელსაც საერთო IPsec ბლოკირებების უმეტესობა გამოტოვებს. ჩაწერეთ ფუნქციის სახელი ცვლილების ჩანაწერში ამ პორტების გვერდით. დაამატეთ გამოყენებული ცნობარის ვერსია ან თარიღი, რადგან მომწოდებლების ცხრილები რედაქტირდება. წესი, რომელიც ასახელებს სერვისს, რომლისთვისაც არსებობს, გადასახედია; რომელიც პროტოკოლის კატეგორიას ასახელებს, არა.

დაწერეთ გამონაკლისი როგორც ხელშეკრულება, და არა როგორც სიკეთე

გამონაკლისი აცხადებს ნებადართულ ფუნქციას, მისი მომხმარებელი მოწყობილობების კლასებს, საჭირო ტრანსპორტს და იმ დანიშნულებებს, რომლებსაც პასუხისმგებელი მხარე ადოკუმენტებს. მას ასევე აქვს პასუხისმგებელი პირი და გადახედვის თარიღი, რადგან ოპერატორის ბოლო წერტილები და მოწყობილობების მოდელები იცვლება ფაირვოლის გუნდისთვის შეტყობინების გარეშე. გადახედვა მიანდეთ ადამიანს და არა გუნდის სახელს, რომელიც გუნდზე დიდხანს იცოცხლებს. შეინარჩუნეთ ფორმულირება საკმარისად კონკრეტული, რომ უცხომ წესი მხოლოდ ჩანაწერიდან აღადგინოს.

მოათავსეთ გამონაკლისი იმავე ციკლში, როგორც კიდის დანარჩენი პოლიტიკა, რომ ოპერატორის მიერ დანიშნულების გადატანა ან პარკის მიერ მოწყობილობის მოდელის შეცვლა გადახედვისას შეამჩნიონ და არა შემდეგ გაუმართაობისას. დახურეთ წრე მასთან, ვინც გატეხილი ზარები შეატყობინა, რადგან მხოლოდ მას შეუძლია დაადასტუროს გასწორება იმ გვირაბის ხელახლა გახსნის გარეშე, რომლის დახურვასაც ბლოკირება უნდა. ეს დადასტურებაც ჩანაწერში უნდა იყოს, თარიღით.

მუდმივი ნებართვა, რომელიც დროებით ტელეფონის შესწორებადაა მონიშნული, ორი წლის შემდეგ დაუცველად არის. გამოვლენილ სერვისზე მიბმულ ნებართვას ვადა აქვს, რომელიც განზრახ განახლდება.

შემოზღუდეთ წყარო პატიოსნად

გამონაკლისის მართული მოწყობილობების სეგმენტით შეზღუდვა მნიშვნელოვნად უფრო ძლიერია, ვიდრე პროტოკოლის გახსნა შენობის ყველა ლეპტოპისთვის. თუ ქსელი ვერ ცნობს ამ სეგმენტს, ჩაწერეთ ეს და ნუ მიანიშნებთ, რომ წესი მოწყობილობებს იცნობს. ყველაზე იაფი კარგი შედეგია იმ საზღვრის ხელახლა გამოყენება, რომელიც უკვე არსებობს სხვა მიზეზით, რომ გამონაკლისმა კონტროლი მემკვიდრეობით მიიღოს და ახალი არ გამოიგონოს. მისამართით ფილტრაცია მოწყობილობის ავთენტიფიკაცია არ არის და ცვლილების ჩანაწერმა საწინააღმდეგო არ უნდა მიანიშნოს.

წყაროს მისამართი ან აპარატურული მისამართი ფიზიკური მოწყობილობის მტკიცებულება არ არის. აქვს თუ არა რომელიმე მათგანს მნიშვნელობა, მთლიანად დამოკიდებულია ამ სეგმენტის შიგნით არსებულ სხვა კონტროლებზე. თუ წესის არგუმენტი MAC მისამართზეა დაფუძნებული, შეამოწმეთ რა უშლის ხელს მომხმარებელს მის შეცვლაში, სანამ წესი გავრცელდება.

მიიღეთ ის, რასაც პორტის წესი ვერ გეტყვით

პორტები ტრანსპორტის ბოლო წერტილებს განსაზღვრავს და არა საქმიან განზრახვას. როცა დამტკიცებული ზარის სერვისი და დაუმტკიცებელი გვირაბი ერთსა და იმავე UDP 4500-ზე მიდიან, არცერთი პორტზე დაფუძნებული წესი მათ არ ყოფს. წესი, რომელიც ამას აცხადებს, ზუსტად გამოიყურება და არ არის, რაც უარესია, ვიდრე წესი, რომელიც საკუთარ ფორმას აღიარებს. ეს მექანიზმის ზღვარია, არა მწერის შეცდომა.

თქვით ეს წესის გვერდით და შეუთავსეთ გამონაკლისი იმ აღსრულებას, რაც ქსელს აქვს, მაგალითად მოწყობილობების მართვას ან დაშვებული დანიშნულებების სიას. შემდეგ გამოხატეთ გამონაკლისი რაც შეიძლება ვიწროდ, როგორც ინსტრუმენტი იძლევა, მაგალითად nftables წესებით, რომლებიც ასახელებენ სეგმენტს და პორტების წყვილს და ზოგად აკრძალვას მათ შემდეგ აყენებენ:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables თანმიმდევრობით აფასებს და პირველ დამთხვევაზე ჩერდება, ამიტომ შეზღუდული ნებართვა ზოგადი აკრძალვის ზემოთ უნდა იყოს. შეცვალეთ ადგილები და გამონაკლისი ჩუმად არაფერს გააკეთებს.

გადაამოწმეთ ფუნქცია და აკრძალვა

შეასრულეთ დამტკიცებული შემოწმება ჩვეულებრივ Wi-Fi ზარზე, იმ მოწყობილობის კლასიდან, რომლისთვისაც გამონაკლისი არსებობს, და დაადასტურეთ, რომ გამორიცხული კლიენტი კვლავ ვერ ახერხებს. არასოდეს და არავითარ შემთხვევაში არ გამოიყენოთ სასწრაფო ზარები სატესტო შემთხვევად. შემდეგ შეამოწმეთ გაშვებული წესი, რადგან ნულზე გაყინული მთვლელი ყველაზე სწრაფი მტკიცებაა, რომ გამონაკლისი არასდროს დაემთხვა:

nft -a list chain inet edge forward

შეიტანეთ ტესტში ხელახლა დაკავშირება ან ქსელის ცვლილება და გაიმეორეთ ცივი დაწყებიდან, როცა ტელეფონი ქსელს უერთდება და არა უკვე დაკავშირებულია. თუ მთვლელი მოძრაობს, სანამ ზარები კვლავ ვერ სრულდება, პრობლემამ ფაირვოლი დატოვა და ოპერატორის დანიშნულებების სიას ეკუთვნის.