Телефонның Wi-Fi Calling қызметін бұзбай IPsec-ті блоктау

Сұраныс әркез бір пішінде келеді: шетте IPsec-ті жабыңыз, өйткені ол ешкім бекітпеген туннельдерді тасымалдайды, ал бірінші шағым телефоны Wi-Fi арқылы қоңырау шалуды тоқтатқан адамнан келеді. Екі факті де бір уақытта ақиқат, және ешқайсысы бақылаудан бас тартуды ақтамайды. Өрт қабырғасына атаулы функциясы, шектелген көзі, құжатталған тағайындалулары және жауапты тұлғасы бар қызмет ерекшелігі қажет. Бес қадам оны келесі жылы бөтен адам қарай алатын ережеге айналдырады.

Протоколды атамас бұрын қызметті атаңыз

SIP қызметіндегі үстел телефоны мен оператордың Wi-Fi Calling қызметін орындайтын құрылғы бір желілік профильді бөліспейді, ал VoIP өрт қабырғасы термині ретінде екеуін де сипаттамайды. Порт пен тағайындалу деректері қызметті басқаратын жеткізушіден немесе оператордан келуі керек, басқа телефон жүйесіне тиесілі есте қалған порт тізімінен емес. Бұл функцияны қорғайтын ереже мен сөзді қорғайтын ереженің айырмашылығы.

Apple-дың қызмет порттарының анықтамасы Wi-Fi Calling үшін UDP 500 және 4500 көрсетеді, бұл жалпы IPsec блоктарының көбісі тастап кететін дәл сол жұп. Өзгеріс жазбасына сол порттардың жанына функция атауын жазыңыз. Пайдаланған анықтаманың нұсқасын немесе күнін қосыңыз, өйткені жеткізушілер кестелері өңделеді. Өзі үшін бар қызметті атайтын ережені қарауға болады; протокол санатын атайтынды қарауға болмайды.

Ерекшелікті жақсылық емес, келісім ретінде жазыңыз

Ерекшелік рұқсат етілген функцияны, оны пайдаланатын құрылғы сыныптарын, қажет тасымалды және жауапты тарап құжаттайтын тағайындалуларды көрсетеді. Онда сондай-ақ иесі мен қарау күні болады, өйткені оператордың соңғы нүктелері мен құрылғы модельдері өрт қабырғасы командасына хабарламай өзгереді. Қарауды командадан ұзақ өмір сүретін команда атауына емес, адамға тапсырыңыз. Тұжырымды бөтен адам ережені жазбаның өзінен қайта шығара алатындай нақты ұстаңыз.

Ерекшелікті шет саясатының қалғанымен бір циклге қойыңыз, осылайша оператордың тағайындалуды жылжытуы немесе парктің құрылғы моделін ауыстыруы келесі ақауда емес, қарау кезінде байқалады. Циклді бұзылған қоңыраулар туралы хабарлаған адаммен жабыңыз, өйткені блок жабуға тиіс туннельді қайта ашпай-ақ түзетуді тек сол растай алады. Бұл растау да күнімен жазбада болуы керек.

Уақытша телефон түзетуі деп белгіленген тұрақты рұқсат екі жылдан кейін қорғануға келмейді. Анықталған қызметке байланған рұқсаттың әдейі жаңартылатын мерзімі болады.

Көзді адал шектеңіз

Ерекшелікті басқарылатын құрылғы сегментімен шектеу ғимараттағы әрбір ноутбукке протоколды ашудан әлдеқайда күшті. Егер желі бұл сегментті тани алмаса, ереже құрылғыларды біледі деп меңзеудің орнына соны жазыңыз. Ең арзан жақсы нәтиже — басқа себеппен әлдеқашан бар шекараны қайта пайдалану, сонда ерекшелік жаңа бақылау ойлап таппай, оны мұра етеді. Мекенжай бойынша сүзу құрылғы аутентификациясы емес, және өзгеріс жазбасы керісінше меңзеуге тиіс емес.

Көз мекенжайы немесе аппараттық мекенжай физикалық құрылғының дәлелі емес. Олардың қайсысының мағынасы бар екені сол сегменттің ішіндегі басқа бақылауларға толық тәуелді. Егер ереженің дәйегі MAC мекенжайына сүйенсе, ереже шығарылмас бұрын пайдаланушыға оны өзгертуге не кедергі болатынын тексеріңіз.

Порт ережесі айта алмайтынын қабылдаңыз

Порттар тасымалдың соңғы нүктелерін анықтайды, іскерлік ниетті емес. Бекітілген қоңырау қызметі мен бекітілмеген туннель бір UDP 4500 арқылы жүргенде, ешбір портқа негізделген ереже оларды ажыратпайды. Осылай деп мәлімдейтін ереже дәл көрінеді, бірақ олай емес, бұл өз пішінін мойындайтын ережеден жаман. Бұл механизмнің шегі, жазған адамның қатесі емес.

Мұны ереженің жанына жазыңыз және ерекшелікті желіде бар күшпен қамтамасыз ету құралымен, мысалы құрылғыны басқарумен немесе рұқсат етілген тағайындалулар тізімімен ұштастырыңыз. Содан кейін ерекшелікті құрал рұқсат еткенше тар түрде білдіріңіз, мысалы сегментті және порт жұбын атайтын, ал жалпы тыйымды олардан кейін қоятын nftables ережелерімен:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables ретімен бағалайды және бірінші сәйкестікте тоқтайды, сондықтан шектелген рұқсат жалпы тыйымның үстінде тұруы керек. Екеуін орындарын ауыстырсаңыз, ерекшелік үнсіз ештеңе істемейді.

Функция мен тыйымды тексеріңіз

Бекітілген тексеруді қарапайым Wi-Fi қоңырауында, ерекшелік бар құрылғы сыныбынан орындаңыз және шығарылған клиенттің әлі де сәтсіз болатынын растаңыз. Ешбір жағдайда жедел қоңырауларды сынақ жағдайы ретінде пайдаланбаңыз. Содан кейін шыққан ережені қарап шығыңыз, өйткені нөлде қатып қалған есептегіш ерекшеліктің ешқашан сәйкес келмегенінің ең жылдам дәлелі:

nft -a list chain inet edge forward

Сынаққа қайта қосылуды немесе желі өзгерісін қосыңыз және оны телефон желіге қосылып жатқан, әлдеқашан қосылмаған суық бастаудан қайталаңыз. Есептегіш қозғалып, қоңыраулар әлі де сәтсіз болса, мәселе өрт қабырғасынан шығып, оператордың тағайындалулар тізіміне жатады.