د IPsec بندول پرته لدې چې د تلیفون Wi-Fi Calling مات شي
شپږ کتنې یو عمومي پروتوکول بندول په داسې خدمت استثنا بدلوي چې تاسو یې دفاع کولی شئ: ځانګړتیا، سرچینه، منزلونه، حد او د بیاکتنې نېټه.
غوښتنه تل په همدې بڼه راځي: په څنډه کې IPsec بند کړئ ځکه هغه تونلونه لېږدوي چې هیچا تصویب نه دي کړي، او لومړنی شکایت له هغه چا راځي چې تلیفون یې له Wi-Fi له لارې زنګ وهل بند کړي دي. دواړه حقایق په یو وخت سم دي، او هیڅ یو هم د کنټرول پرېښودلو توجیه نه کوي. هغه څه چې د اور وژنې دیوال ته اړتیا ده، د نومول شوې ځانګړتیا، محدودې سرچینې، مستندو منزلونو او مالک سره خدمت استثنا ده. پنځه ګامه هغه په داسې قاعده بدلوي چې بل کال به یو اجنبی بیاکتنه وکړي.
د پروتوکول نوم اخیستلو دمخه د خدمت نوم واخلئ
د SIP خدمت میزي تلیفون او هغه وسیله چې د اپراتور Wi-Fi Calling ترسره کوي یو شان د شبکې پروفایل نه شریکوي، او VoIP د اور وژنې دیوال اصطلاح په توګه هیڅ یو هم نه توصیف کوي. د پورټ او منزل معلومات باید له هغه عرضه کوونکي یا اپراتور څخه راشي چې خدمت چلوي، نه د بل تلیفوني سیسټم له یاد شوې پورټ لیست څخه. دا د یوې ځانګړتیا ساتنې قاعده او د یوې کلمې ساتنې قاعده ترمنځ توپیر دی.
د Apple د خدمت پورټونو مرجع د Wi-Fi Calling لپاره UDP 500 او 4500 لیستوي، کوم چې هغه جوړه ده چې ډېری عمومي IPsec بندونه یې غورځوي. په بدلون ریکارډ کې د هغو پورټونو ترڅنګ د ځانګړتیا نوم ولیکئ. د هغې مرجع نسخه یا نېټه چې کارولې یې ده اضافه کړئ، ځکه د عرضه کوونکو جدولونه سمون کیږي. هغه قاعده چې د خدمت نوم اخلي چې د هغه لپاره ده بیاکتل کیدای شي؛ هغه چې د پروتوکول کټګوري نوم اخلي نه.
استثنا د مهربانۍ نه، د تړون په څېر ولیکئ
استثنا اجازه شوې ځانګړتیا، هغه وسیلې ټولګي چې کار ترې اخلي، اړین لېږد او هغه منزلونه بیانوي چې مسؤل لوری یې مستند کوي. دا د مالک او د بیاکتنې نېټه هم لري، ځکه د اپراتور پای ټکي او د وسایلو ماډلونه د اور وژنې دیوال ټیم ته له خبر ورکولو پرته بدلیږي. بیاکتنه یو کس ته وسپارئ نه د ټیم هغه نوم ته چې له ټیم څخه زیات پاتې کیږي. عبارت دومره ځانګړی وساتئ چې یو اجنبی یوازې له ریکارډ څخه قاعده بیا جوړه کړي.
استثنا د څنډې پاتې سیاست سره په ورته چرخه کې کېږدئ، ترڅو د اپراتور لخوا د منزل لېږدول یا د بیړۍ لخوا د وسیلې ماډل بدلول په راتلونکې خرابۍ کې نه، بلکې په بیاکتنه کې وپېژندل شي. چرخه له هغه چا سره بنده کړئ چې د ماتو زنګونو راپور یې ورکړی، ځکه یوازې هغه کولی شي سمون تایید کړي پرته لدې چې هغه تونل بیرته پرانیزي چې بندول یې باید بند کړی وای. هغه تایید هم د نېټې سره په ریکارډ کې وي.
د لنډمهاله تلیفون سمون په نښه شوې تلپاتې اجازه دوه کاله وروسته د دفاع وړ نه ده. د پېژندل شوي خدمت سره تړلې اجازه د پای نېټه لري چې په قصد نوي کیږي.
سرچینه په رښتونې توګه محدوده کړئ
استثنا یوازې د مدیریت شوې وسیلې برخې ته محدودول په ودانی کې هر لیپ ټاپ لپاره پروتوکول پرانیستل څخه ډېر پیاوړی دی. که شبکه هغه برخه ونه پېژني، دا ولیکئ نه دا اشارې چې قاعده وسایل پېژني. ترټولو ارزانه ښه پایله دا ده چې هغه پوله بیا وکاروئ چې لا دمخه د بل دلیل له مخې شته، نو استثنا نوې کنټرول اختراع کوي نه، بلکې یو یې په میراث اخلي. د پتې له مخې فلټرول د وسیلې تصدیق نه دی، او د بدلون ریکارډ باید برعکس اشاره ونه کړي.
د سرچینې پته یا د سختو وسایلو پته د فزیکي وسیلې ثبوت نه دی. چې کوم یو یې معنا لري په بشپړ ډول په هغې برخې کې د نورو کنټرولونو پورې تړلی دی. که د قاعدې دلیل د MAC پتې پر بنسټ وي، مخکې لدې چې قاعده ووځي وګورئ څه کارن د هغې د بدلولو مخه نیسي.
هغه څه ومنئ چې د پورټ قاعده یې نه شي ویلای
پورټونه د لېږد پای ټکي پېژني، نه سوداګریزه موخه. کله چې تصویب شوی زنګ خدمت او ناتصویب شوی تونل دواړه پر یو UDP 4500 ځي، هیڅ د پورټ پر بنسټ قاعده یې نه جلا کوي. هغه قاعده چې د دې کولو ادعا کوي سمه ښکاري خو نه ده، کوم چې د خپل شکل منونکې قاعدې څخه بدتر دی. دا د میکانیزم حد دی، د لیکونکي تېروتنه نه ده.
دا د قاعدې ترڅنګ ووایاست، او استثنا له هغه پلي کولو سره جوړه کړئ چې شبکه یې لري، لکه د وسایلو مدیریت یا د اجازه شوو منزلونو لیست. بیا استثنا هومره تنګ بیان کړئ چې اوزار اجازه ورکوي، د بېلګې په توګه د nftables قواعد چې برخه او پورټ جوړه نوموي او عمومي بندیز د هغوی وروسته ږدي:
nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter dropnftables په ترتیب ارزونه کوي او په لومړي سمون کې درېږي، نو محدوده اجازه باید د عمومي بندیز له پاسه وي. دواړه بدل کړئ او استثنا په خاموشۍ هیڅ نه کوي.
ځانګړتیا او بندیز تصدیق کړئ
تصویب شوې کتنه په یو عادي Wi-Fi زنګ کې، له هغې وسیلې ټولګي چې استثنا ورته ده ترسره کړئ، او تایید کړئ چې وتلی پیریدونکی لاهم ناکام پاتې کیږي. په هیڅ حالت کې د بیړني زنګ ازموینه مه ګرځوئ. بیا هغه قاعده وګورئ چې وتلې ده، ځکه په صفر ولاړ شمېرونکی ترټولو ژر ثبوت دی چې استثنا هیڅکله سمون ونه کړ:
nft -a list chain inet edge forwardپه ازموینه کې بیا یوځای کېدل یا د شبکې بدلون شامل کړئ، او له سړې پیل څخه یې تکرار کړئ کله چې تلیفون شبکې ته ګډون کوي نه دا چې لا دمخه نښلول شوی وي. که شمېرونکی حرکت وکړي او زنګونه لاهم ناکام وي، ستونزه د اور وژنې دیوال پریښی او د اپراتور د منزلونو لیست پورې اړه لري.