Утасны Wi-Fi Calling-г эвдэхгүйгээр IPsec хаах

Хүсэлт үргэлж ижил хэлбэрээр ирдэг: хэн ч зөвшөөрөөгүй туннелүүдийг зөөдөг тул ирмэг дээр IPsec хаа, гэхдээ эхний гомдол Wi-Fi-аар ярихаа болиулсан хүнээс ирдэг. Хоёр баримт нэгэн зэрэг үнэн бөгөөд аль нь ч хяналтаас татгалзахыг зөвтгөхгүй. Галт ханад нэрлэсэн функц, хязгаарлагдмал эх сурвалж, баримтжуулсан зорьсон газар, хариуцсан хүн бүхий үйлчилгээний үл хамаарах зүйл хэрэгтэй. Таван алхам үүнийг ирэх жил танихгүй хүн хянаж болох дүрэм болгоно.

Протоколыг нэрлэхээс өмнө үйлчилгээг нэрлэ

SIP үйлчилгээний ширээний утас болон операторын Wi-Fi Calling хийдэг төхөөрөмж нэг сүлжээний профайлыг хуваалцдаггүй бөгөөд VoIP нь галт ханын нэр томьёо болж аль нэгийг нь ч тодорхойлдоггүй. Порт болон зорьсон газрын мэдээлэл нь үйлчилгээг ажиллуулдаг нийлүүлэгч эсвэл оператороос ирэх ёстой, өөр утасны системд хамаарах санаж үлдсэн портын жагсаалтаас биш. Энэ бол функцийг хамгаалдаг дүрэм ба үгийг хамгаалдаг дүрмийн ялгаа.

Apple-ын үйлчилгээний портын лавлагаа нь Wi-Fi Calling-д UDP 500 ба 4500-г жагсаасан бөгөөд энэ нь ихэнх бүхэл IPsec хаалтууд алгасдаг яг тэр хос юм. Өөрчлөлтийн бүртгэлд тэдгээр портын хажууд функцийн нэрийг бич. Ашигласан лавлагааны хувилбар эсвэл огноог нэм, учир нь нийлүүлэгчдийн хүснэгтүүд засварлагддаг. Өөрийнхөө төлөө оршин байгаа үйлчилгээг нэрлэсэн дүрмийг хянах боломжтой; протоколын ангиллыг нэрлэснийг хянах боломжгүй.

Үл хамаарах зүйлийг ачлал биш, гэрээ болгон бич

Үл хамаарах зүйл зөвшөөрөгдсөн функцийг, түүнийг ашигладаг төхөөрөмжийн ангиллыг, шаардлагатай тээврийг, хариуцсан талын баримтжуулсан зорьсон газрыг заана. Мөн эзэн болон хяналтын огноог агуулна, учир нь операторын төгсгөлийн цэгүүд болон төхөөрөмжийн загварууд галт ханын багт мэдэгдэхгүйгээр өөрчлөгддөг. Хяналтыг багаас урт наслах багийн нэрэнд биш, хүнд даалга. Танихгүй хүн зөвхөн бүртгэлээс дүрмийг гаргаж чадахуйц тодорхой байлга.

Үл хамаарах зүйлийг ирмэгийн бусад бодлоготой ижил мөчлөгт тавь, ингэснээр оператор зорьсон газраа зөөх эсвэл парк төхөөрөмжийн загвараа солих нь дараагийн доголдолд биш, хяналтад анзаарагдана. Эвдэрсэн дуудлагын талаар мэдээлсэн хүнтэй циклийг хаа, учир нь хаалт хаах ёстой байсан туннелийг дахин нээхгүйгээр засварыг зөвхөн тэр баталж чадна. Тэр баталгаажуулалт ч огноотойгоо бүртгэлд байх ёстой.

Түр зуурын утасны засвар гэж тэмдэглэсэн байнгын зөвшөөрөл хоёр жилийн дараа хамгаалах боломжгүй. Тодорхойлогдсон үйлчилгээнд уясан зөвшөөрөл нь санаатайгаар сунгагддаг хугацаатай.

Эх сурвалжийг шударгаар хязгаарла

Үл хамаарах зүйлийг удирдлагатай төхөөрөмжийн сегментээр хязгаарлах нь барилгын бүх зөөврийн компьютерт протоколыг нээхээс хамаагүй хүчтэй. Хэрэв сүлжээ тэр сегментийг таньж чадахгүй бол дүрэм төхөөрөмжүүдийг мэддэг гэж сануулахын оронд үүнийг бич. Хамгийн хямд сайн үр дүн нь өөр шалтгаанаар аль хэдийн оршин байгаа хил хязгаарыг дахин ашиглах бөгөөд ингэснээр үл хамаарах зүйл шинэ хяналт зохиохын оронд нэгийг өвлөнө. Хаягаар шүүлт хийх нь төхөөрөмжийн баталгаажуулалт биш бөгөөд өөрчлөлтийн бүртгэл эсрэгээр сануулах ёсгүй.

Эх сурвалжийн хаяг эсвэл техник хангамжийн хаяг нь биет төхөөрөмжийн баталгаа биш. Аль нэг нь утга учиртай эсэх нь тухайн сегментийн доторх бусад хяналтаас бүрэн хамаарна. Хэрэв дүрмийн үндэслэл MAC хаяг дээр тулгуурлаж байвал дүрэм гарахаас өмнө хэрэглэгчийг үүнийг өөрчлөхөд юу саад болж байгааг шалга.

Портын дүрэм хэлж чадахгүй зүйлийг хүлээж ав

Портууд нь тээврийн төгсгөлийн цэгүүдийг тодорхойлдог, бизнесийн зорилгыг биш. Зөвшөөрөгдсөн дуудлагын үйлчилгээ болон зөвшөөрөөгүй туннель хоёулаа нэг UDP 4500-ээр явбал ямар ч портод суурилсан дүрэм тэднийг тусгаарлахгүй. Ингэж чаддаг гэж мэдэгддэг дүрэм нарийн харагдах боловч тийм биш бөгөөд энэ нь өөрийн хэлбэрийг хүлээн зөвшөөрсөн дүрмээс дор. Энэ нь механизмын хязгаар, бичсэн хүний алдаа биш.

Үүнийг дүрмийн хажууд бичээд, үл хамаарах зүйлийг сүлжээний хэрэгжүүлэлттэй, жишээ нь төхөөрөмжийн удирдлага эсвэл зөвшөөрөгдсөн зорьсон газрын жагсаалттай хослуул. Дараа нь үл хамаарах зүйлийг багаж зөвшөөрөх хамгийн нарийн хэлбэрээр илэрхийл, жишээ нь сегмент болон портын хосыг нэрлэж, ерөнхий хоригийг тэдний дараа тавьдаг nftables дүрмүүд:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables дарааллаар үнэлж, эхний тохиролцоонд зогсдог тул хязгаарлагдмал зөвшөөрөл ерөнхий хоригийн дээр байх ёстой. Хоёрыг нь сольбол үл хамаарах зүйл чимээгүйгээр юу ч хийхгүй.

Функц болон хоригийг баталгаажуул

Зөвшөөрөгдсөн шалгалтыг энгийн Wi-Fi дуудлага дээр, үл хамаарах зүйл байгаа төхөөрөмжийн ангиллаас гүйцэтгэж, хасагдсан клиент одоо ч бүтэлгүйтэж байгааг батал. Ямар ч тохиолдолд яаралтай дуудлагыг туршилтын кейс болгож болохгүй. Дараа нь гарсан дүрмийг шалга, учир нь тэг дээр царцсан тоолуур нь үл хамаарах зүйл хэзээ ч тохироогүйн хамгийн хурдан баталгаа:

nft -a list chain inet edge forward

Туршилтад дахин холболт эсвэл сүлжээний өөрчлөлтийг оруулж, утас сүлжээнд аль хэдийн холбогдсоноос биш, шинээр холбогдож буй хүйтэн эхлэлээс давт. Хэрэв дуудлагууд бүтэлгүйтсээр байхад тоолуур хөдөлж байвал асуудал галт ханыг орхисон бөгөөд операторын зорьсон газрын жагсаалтад хамаарна.