Телефондун Wi-Fi Calling кызматын бузбастан IPsec блоктоо

Сурам дайыма бирдей формада келет: четинде IPsec жабыңыз, анткени ал эч ким бекитпеген туннелдерди ташыйт, ал эми биринчи дат телефону Wi-Fi аркылуу чалууну токтоткон адамдан келет. Эки факт тең бир убакта чын, жана экөө тең контролдон баш тартууну актабайт. Тармак капкасына аталган функциясы, чектелген булагы, документтелген багыттары жана жооптуу адамы бар кызмат өзгөчөлүгү керек. Беш кадам аны кийинки жылы бөтөн адам карай алган эрежеге айландырат.

Протоколду атаардан мурун кызматты атаңыз

SIP кызматындагы үстөл телефону менен оператордун Wi-Fi Calling кызматын аткарган түзмөк бир тармак профилин бөлүшпөйт, ал эми VoIP тармак капкасы термини катары экөөнү тең сүрөттөбөйт. Порт жана багыт маалыматтары кызматты башкарган жеткирүүчүдөн же оператордон келиши керек, башка телефон системасына таандык эсте калган порт тизмесинен эмес. Бул функцияны коргогон эреже менен сөздү коргогон эреженин айырмасы.

Apple'дын кызмат портторунун шилтемеси Wi-Fi Calling үчүн UDP 500 жана 4500 тизмелейт, бул көпчүлүк жалпы IPsec блоктору таштап кеткен так ошол жуп. Өзгөртүү жазуусуна ошол порттордун жанына функциянын атын жазыңыз. Колдонгон шилтемеңиздин версиясын же күнүн кошуңуз, анткени жеткирүүчүлөрдүн таблицалары оңдолот. Өзү үчүн бар кызматты атаган эрежени кароого болот; протокол категориясын атаганды кароого болбойт.

Өзгөчөлүктү жакшылык эмес, келишим катары жазыңыз

Өзгөчөлүк уруксат берилген функцияны, аны колдонгон түзмөк класстарын, керектүү транспортту жана жооптуу тарап документтеген багыттарды көрсөтөт. Анда ошондой эле ээси жана кароо күнү бар, анткени оператордун акыркы чекиттери жана түзмөк моделдери тармак капка командасына билдирбей эле өзгөрөт. Кароону командадан узак жашай турган команда аталышына эмес, адамга тапшырыңыз. Сүйлөмдү бөтөн адам эрежени жазуунун өзүнөн гана кайра чыгара ала тургандай так кармаңыз.

Өзгөчөлүктү четинин калган саясаты менен бир циклге коюңуз, ошентип оператордун багытты жылдыруусу же парктын түзмөк моделин алмаштыруусу кийинки бузулууда эмес, кароодо байкалат. Циклди бузулган чалуулар тууралуу билдирген адам менен жабыңыз, анткени блок жапмак болгон туннелди кайра ачпастан оңдоону тек ошол тастыктай алат. Бул тастыктоо да күнү менен жазууда болушу керек.

Убактылуу телефон оңдоосу деп белгиленген туруктуу уруксат эки жылдан кийин корголбойт. Аныкталган кызматка байланган уруксаттын атайын жаңыртылуучу мөөнөтү бар.

Булакты чынчыл чектеңиз

Өзгөчөлүктү башкарылуучу түзмөк сегменти менен чектөө имараттагы ар бир ноутбукка протоколду ачуудан кыйла күчтүү. Эгер тармак ошол сегментти тааный албаса, эреже түзмөктөрдү билет деп ишарат кылуунун ордуна ошону жазыңыз. Эң арзан жакшы натыйжа — башка себептен мурунтан бар чекти кайра колдонуу, ошентип өзгөчөлүк жаңы контролду ойлоп таппай, аны мураска алат. Дарек боюнча чыпкалоо түзмөк аутентификациясы эмес жана өзгөртүү жазуусу тескерисинче ишарат кылбашы керек.

Булак дареги же аппараттык дарек физикалык түзмөктүн далили эмес. Алардын кайсынысынын мааниси бар экени ошол сегменттин ичиндеги башка контролдорго толук көз каранды. Эгер эреженин аргументи MAC дарегине таянса, эреже чыгарылганга чейин колдонуучуга аны өзгөртүүгө эмне тоскоол болорун текшериңиз.

Порт эрежеси айта албаганды кабыл алыңыз

Порттор транспорттун акыркы чекиттерин аныктайт, ишкердик ниетти эмес. Бекитилген чалуу кызматы менен бекитилбеген туннел бир эле UDP 4500 аркылуу жүргөндө, эч бир портко негизделген эреже аларды ажыратпайт. Ушундай деп ырастаган эреже так көрүнөт, бирок андай эмес, бул өз формасын моюнга алган эрежеден жаман. Бул механизмдин чеги, жазган адамдын катасы эмес.

Муну эреженин жанына жазыңыз жана өзгөчөлүктү тармактагы аткаруу менен, мисалы түзмөк башкаруу же уруксат берилген багыттар тизмеси менен айкалыштырыңыз. Андан кийин өзгөчөлүктү курал уруксат бергенче тар түрдө билдириңиз, мисалы сегментти жана порт жубу атаган, ал эми жалпы тыюуну алардан кийин койгон nftables эрежелери менен:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables ирети менен баалайт жана биринчи дал келүүдө токтойт, ошондуктан чектелген уруксат жалпы тыюудан жогору турушу керек. Экөөнүн ордун алмаштырсаңыз, өзгөчөлүк үнсүз эч нерсе кылбайт.

Функцияны жана тыюуну текшериңиз

Бекитилген текшерүүнү кадимки Wi-Fi чалуусунда, өзгөчөлүк бар түзмөк классында аткарыңыз жана чыгарылган кардар дагы эле ийгиликсиз болорун тастыктаңыз. Эч качан жана эч кандай шартта тез жардам чалууларын сыноо учуру катары колдонбоңуз. Андан кийин чыккан эрежени карап чыгыңыз, анткени нөлдө тоңуп калган эсептегич өзгөчөлүк эч качан дал келбегенин эң тез далилдейт:

nft -a list chain inet edge forward

Сыноого кайра туташууну же тармак өзгөрүүсүн кошуңуз жана аны телефон тармакка кошулуп жаткан, мурунтан туташпаган муздак башынан кайталаңыз. Эсептегич кыймылдап, чалуулар дагы эле ийгиликсиз болсо, маселе тармак капкасынан чыгып, оператордун багыттар тизмесине таандык.