ഫോണിന്റെ Wi-Fi Calling തകർക്കാതെ IPsec തടയുക

അഭ്യർത്ഥന എപ്പോഴും ഒരേ രൂപത്തിൽ വരുന്നു: ആരും അംഗീകരിക്കാത്ത ടണലുകൾ വഹിക്കുന്നതിനാൽ അരികിൽ IPsec അടയ്ക്കുക, എന്നാൽ ആദ്യ പരാതി Wi-Fi വഴി വിളിക്കുന്നത് നിലച്ചയാളിൽ നിന്നാണ്. രണ്ട് വസ്തുതകളും ഒരേസമയം ശരിയാണ്, ഒന്നും നിയന്ത്രണം വിടാൻ ന്യായീകരണം നൽകുന്നില്ല. ഫയർവാളിന് പേരിട്ട സവിശേഷത, പരിമിതമായ ഉറവിടം, രേഖപ്പെടുത്തിയ ലക്ഷ്യങ്ങൾ, ഉടമ എന്നിവയുള്ള സേവന-ഒഴിവാക്കൽ വേണം. അഞ്ച് ഘട്ടങ്ങൾ അതിനെ അടുത്ത വർഷം അപരിചിതന് അവലോകനം ചെയ്യാവുന്ന നിയമമാക്കുന്നു.

പ്രോട്ടോക്കോളിന് പേരിടുന്നതിന് മുമ്പ് സേവനത്തിന് പേരിടുക

SIP സേവനത്തിലെ ഡെസ്ക് ഫോണും ഓപ്പറേറ്ററുടെ Wi-Fi Calling ചെയ്യുന്ന ഉപകരണവും ഒരേ നെറ്റ്‌വർക്ക് പ്രൊഫൈൽ പങ്കിടുന്നില്ല, ഫയർവാൾ പദമെന്ന നിലയിൽ VoIP അവയിൽ ഒന്നിനെയും വിവരിക്കുന്നില്ല. പോർട്ടും ലക്ഷ്യവും സംബന്ധിച്ച വിവരങ്ങൾ സേവനം നടത്തുന്ന വിൽപ്പനക്കാരനിൽ നിന്നോ ഓപ്പറേറ്ററിൽ നിന്നോ വരണം, മറ്റൊരു ഫോൺ സിസ്റ്റത്തിന്റെ ഓർമയിലുള്ള പോർട്ട് പട്ടികയിൽ നിന്നല്ല. ഒരു സവിശേഷതയെ സംരക്ഷിക്കുന്ന നിയമവും ഒരു വാക്കിനെ സംരക്ഷിക്കുന്ന നിയമവും തമ്മിലുള്ള വ്യത്യാസമാണിത്.

Apple ന്റെ സേവന-പോർട്ട് റഫറൻസ് Wi-Fi Calling ന് UDP 500, 4500 എന്നിവ പട്ടികപ്പെടുത്തുന്നു, ഇത് മിക്ക പൊതു IPsec തടയലുകളും ഒഴിവാക്കുന്ന അതേ ജോടിയാണ്. ആ പോർട്ടുകൾക്കരികിൽ മാറ്റരേഖയിൽ സവിശേഷതയുടെ പേര് എഴുതുക. നിങ്ങൾ ഉപയോഗിച്ച റഫറൻസിന്റെ പതിപ്പോ തീയതിയോ ചേർക്കുക, കാരണം വിൽപ്പനക്കാരുടെ പട്ടികകൾ തിരുത്തപ്പെടുന്നു. താൻ നിലനിൽക്കുന്ന സേവനത്തെ പേരിടുന്ന നിയമം അവലോകനം ചെയ്യാം; പ്രോട്ടോക്കോൾ വിഭാഗത്തെ പേരിടുന്നതിനെ സാധ്യമല്ല.

ഒഴിവാക്കൽ ദയയല്ല, കരാറായി എഴുതുക

ഒഴിവാക്കൽ അനുവദിച്ച സവിശേഷത, അത് ഉപയോഗിക്കുന്ന ഉപകരണ വിഭാഗങ്ങൾ, ആവശ്യമായ ഗതാഗതം, ഉത്തരവാദ കക്ഷി രേഖപ്പെടുത്തുന്ന ലക്ഷ്യങ്ങൾ എന്നിവ പറയുന്നു. ഉടമയും അവലോകന തീയതിയും ഉണ്ട്, കാരണം ഓപ്പറേറ്ററുടെ അന്ത്യബിന്ദുക്കളും ഉപകരണ മോഡലുകളും ഫയർവാൾ ടീമിനെ അറിയിക്കാതെ മാറുന്നു. അവലോകനം ടീമിനെക്കാൾ കാലം നിൽക്കുന്ന ടീമിന്റെ പേരിനല്ല, ഒരു വ്യക്തിക്ക് നൽകുക. അപരിചിതന് രേഖയിൽ നിന്ന് മാത്രം നിയമം വീണ്ടെടുക്കാവുന്നത്ര വ്യക്തമായി വാക്കുകൾ നിലനിർത്തുക.

ഒഴിവാക്കൽ ബാക്കി അതിർ നയത്തിന്റെ അതേ ചക്രത്തിൽ വയ്ക്കുക, അങ്ങനെ ഓപ്പറേറ്റർ ലക്ഷ്യം നീക്കിയാലോ സംഘം ഉപകരണ മോഡൽ മാറ്റിയാലോ അടുത്ത തകരാറിലല്ല, അവലോകനത്തിൽ ശ്രദ്ധയിൽപ്പെടും. തകർന്ന വിളികൾ റിപ്പോർട്ട് ചെയ്തയാളുമായി ചക്രം അടയ്ക്കുക, കാരണം തടയൽ അടയ്ക്കേണ്ടിയിരുന്ന ടണൽ വീണ്ടും തുറക്കാതെ തിരുത്തൽ സ്ഥിരീകരിക്കാൻ അയാൾക്ക് മാത്രമേ കഴിയൂ. ആ സ്ഥിരീകരണവും തീയതിയോടെ രേഖയിൽ വേണം.

താൽക്കാലിക ഫോൺ നന്നാക്കൽ എന്ന് ലേബൽ ചെയ്ത സ്ഥിരാനുമതി രണ്ട് വർഷത്തിന് ശേഷം സമർത്ഥിക്കാനാവില്ല. തിരിച്ചറിഞ്ഞ സേവനത്തോട് ബന്ധിപ്പിച്ച അനുമതിക്ക് ബോധപൂർവം പുതുക്കുന്ന കാലാവധിയുണ്ട്.

ഉറവിടം സത്യസന്ധമായി പരിമിതപ്പെടുത്തുക

ഒഴിവാക്കൽ നിയന്ത്രിത ഉപകരണ വിഭാഗത്തിൽ ഒതുക്കുന്നത് കെട്ടിടത്തിലെ ഓരോ ലാപ്‌ടോപ്പിനും പ്രോട്ടോക്കോൾ തുറക്കുന്നതിനേക്കാൾ ഏറെ ശക്തമാണ്. നെറ്റ്‌വർക്കിന് ആ വിഭാഗം തിരിച്ചറിയാൻ കഴിയില്ലെങ്കിൽ, നിയമത്തിന് ഉപകരണങ്ങളെ അറിയാമെന്ന് സൂചിപ്പിക്കുന്നതിനു പകരം അത് എഴുതുക. ഏറ്റവും വിലകുറഞ്ഞ നല്ല ഫലം മറ്റൊരു കാരണത്താൽ ഇതിനകം നിലനിൽക്കുന്ന അതിർത്തി വീണ്ടും ഉപയോഗിക്കുക എന്നതാണ്, അങ്ങനെ ഒഴിവാക്കൽ പുതിയ നിയന്ത്രണം കണ്ടുപിടിക്കുന്നതിനു പകരം ഒന്ന് അനന്തരാവകാശമായി നേടുന്നു. വിലാസത്താൽ ഫിൽട്ടർ ചെയ്യുന്നത് ഉപകരണ പ്രാമാണീകരണമല്ല, മാറ്റരേഖ വിപരീതം സൂചിപ്പിക്കരുത്.

ഉറവിട വിലാസമോ ഹാർഡ്‌വെയർ വിലാസമോ ഭൗതിക ഉപകരണത്തിന്റെ തെളിവല്ല. അവയിലൊന്നിന് അർത്ഥമുണ്ടോ എന്നത് ആ വിഭാഗത്തിനുള്ളിലെ മറ്റ് നിയന്ത്രണങ്ങളെ പൂർണമായി ആശ്രയിച്ചിരിക്കുന്നു. നിയമത്തിന്റെ വാദം MAC വിലാസത്തിൽ നിൽക്കുന്നെങ്കിൽ, നിയമം പുറത്തിറങ്ങുന്നതിന് മുമ്പ് ഉപയോക്താവിനെ അത് മാറ്റുന്നതിൽ നിന്ന് എന്ത് തടയുന്നു എന്ന് പരിശോധിക്കുക.

പോർട്ട് നിയമത്തിന് പറയാനാവാത്തത് സ്വീകരിക്കുക

പോർട്ടുകൾ ഗതാഗത അന്ത്യബിന്ദുക്കളെ തിരിച്ചറിയുന്നു, ബിസിനസ് ഉദ്ദേശ്യത്തെയല്ല. അംഗീകരിച്ച വിളി സേവനവും അംഗീകരിക്കാത്ത ടണലും ഒരേ UDP 4500-ൽ സഞ്ചരിക്കുമ്പോൾ, പോർട്ട് അടിസ്ഥാനമാക്കിയ ഒരു നിയമവും അവയെ വേർതിരിക്കുന്നില്ല. അങ്ങനെ ചെയ്യുന്നു എന്ന് അവകാശപ്പെടുന്ന നിയമം കൃത്യമായി തോന്നുന്നു, പക്ഷേ അല്ല, അത് സ്വന്തം രൂപം സമ്മതിക്കുന്ന നിയമത്തെക്കാൾ മോശമാണ്. ഇത് സംവിധാനത്തിന്റെ പരിധിയാണ്, എഴുതിയയാളുടെ തെറ്റല്ല.

അത് നിയമത്തിനരികിൽ പറയുക, ഒഴിവാക്കൽ നെറ്റ്‌വർക്കിനുള്ള നടപ്പാക്കലുമായി, ഉദാഹരണത്തിന് ഉപകരണ മാനേജ്‌മെന്റ് അല്ലെങ്കിൽ അനുവദിച്ച ലക്ഷ്യ പട്ടികയുമായി ചേർക്കുക. പിന്നീട് ഉപകരണം അനുവദിക്കുന്നത്ര സങ്കുചിതമായി ഒഴിവാക്കൽ പ്രകടിപ്പിക്കുക, ഉദാഹരണത്തിന് വിഭാഗത്തെയും പോർട്ട് ജോടിയെയും പേരിടുകയും പൊതു വിലക്ക് അവയ്ക്ക് ശേഷം വയ്ക്കുകയും ചെയ്യുന്ന nftables നിയമങ്ങളാൽ:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables ക്രമത്തിൽ വിലയിരുത്തി ആദ്യ പൊരുത്തത്തിൽ നിൽക്കുന്നു, അതിനാൽ പരിമിതമായ അനുമതി പൊതു വിലക്കിന് മുകളിൽ വേണം. രണ്ടും തിരിച്ചിട്ടാൽ ഒഴിവാക്കൽ നിശബ്ദമായി ഒന്നും ചെയ്യുന്നില്ല.

സവിശേഷതയും വിലക്കും സാധൂകരിക്കുക

അംഗീകരിച്ച പരിശോധന സാധാരണ Wi-Fi വിളിയിൽ, ഒഴിവാക്കൽ ഉള്ള ഉപകരണ വിഭാഗത്തിൽ നിന്ന് നടത്തി, ഒഴിവാക്കിയ ക്ലയന്റ് ഇപ്പോഴും പരാജയപ്പെടുന്നുവെന്ന് സ്ഥിരീകരിക്കുക. ഒരു കാരണവശാലും അടിയന്തര വിളികൾ പരീക്ഷണ കേസായി ഉപയോഗിക്കരുത്. പിന്നീട് പുറത്തിറങ്ങിയ നിയമം പരിശോധിക്കുക, കാരണം പൂജ്യത്തിൽ നിൽക്കുന്ന കൗണ്ടർ ഒഴിവാക്കൽ ഒരിക്കലും പൊരുത്തപ്പെട്ടില്ല എന്നതിന്റെ ഏറ്റവും വേഗമേറിയ തെളിവാണ്:

nft -a list chain inet edge forward

പരീക്ഷണത്തിൽ വീണ്ടും കണക്ഷൻ അല്ലെങ്കിൽ നെറ്റ്‌വർക്ക് മാറ്റം ഉൾപ്പെടുത്തി, ഫോൺ ഇതിനകം ബന്ധിപ്പിച്ചിരിക്കുന്നതിനു പകരം നെറ്റ്‌വർക്കിൽ ചേരുന്ന തണുത്ത തുടക്കത്തിൽ നിന്ന് അത് ആവർത്തിക്കുക. വിളികൾ പരാജയപ്പെട്ടുകൊണ്ടിരിക്കെ കൗണ്ടർ നീങ്ങുന്നുവെങ്കിൽ, പ്രശ്നം ഫയർവാൾ വിട്ട് ഓപ്പറേറ്ററുടെ ലക്ഷ്യ പട്ടികയിൽ പെടുന്നു.