Kuzuia IPsec bila kuvunja Wi-Fi Calling ya simu

Ombi huja kila wakati kwa umbo lile lile: funga IPsec ukingoni kwa sababu hubeba vichuguu ambavyo hakuna aliyeviidhinisha, na malalamiko ya kwanza hutoka kwa mtu ambaye simu yake iliacha kupiga simu kupitia Wi-Fi. Hoja zote mbili ni kweli kwa wakati mmoja, na hakuna moja inayohalalisha kuachana na udhibiti. Ukuta wa moto unahitaji msamaha wa huduma wenye kipengele kilichotajwa, chanzo kilichowekwa kikomo, destino zilizoandikwa na mmiliki. Hatua tano huubadilisha kuwa kanuni ambayo mgeni anaweza kuipitia mwaka ujao.

Taja huduma kabla ya kutaja itifaki

Simu ya mezani kwenye huduma ya SIP na kifaa kinachofanya Wi-Fi Calling ya mwendeshaji hazishiriki wasifu mmoja wa mtandao, na VoIP kama neno la ukuta wa moto haielezi hata mmoja wao. Data ya bandari na destino lazima itoke kwa msambazaji au mwendeshaji anayeendesha huduma, si kwenye orodha ya bandari inayokumbukwa ya mfumo mwingine wa simu. Huu ni tofauti kati ya kanuni inayolinda kipengele na kanuni inayolinda neno.

Marejeo ya bandari za huduma ya Apple yanaorodhesha UDP 500 na 4500 kwa Wi-Fi Calling, ambayo ni jozi ambayo zuio nyingi za jumla za IPsec huiacha. Andika jina la kipengele kwenye rekodi ya mabadiliko kando ya bandari hizo. Ongeza toleo au tarehe ya marejeo uliyotumia, kwa sababu majedwali ya wasambazaji hurekebishwa. Kanuni inayotaja huduma ambayo ipo kwa ajili yake inaweza kupitiwa; inayotaja aina ya itifaki haiwezi.

Andika msamaha kama mkataba, si kama hisani

Msamaha unabainisha kipengele kilichoruhusiwa, madaraja ya vifaa vinavyokitumia, usafiri unaohitajika na destino zinazoandikwa na upande unaowajibika. Pia hubeba mmiliki na tarehe ya mapitio, kwa sababu vituo vya mwisho vya mwendeshaji na modeli za vifaa hubadilika bila kujulisha timu ya ukuta wa moto. Toa mapitio kwa mtu badala ya jina la timu litakaloishi zaidi ya timu. Weka maneno mahususi vya kutosha ili mgeni aweze kutoa kanuni hiyo kutoka kwenye rekodi pekee.

Weka msamaha kwenye mzunguko ule ule kama sera nyingine ya ukingo, ili mwendeshaji anayehamisha destino au kikosi kinachobadilisha modeli ya kifaa kugundulika kwenye mapitio na si kwenye hitilafu inayofuata. Funga mzunguko na yule aliyeripoti simu zilizovunjika, kwa sababu ni yeye pekee anayeweza kuthibitisha marekebisho bila kufungua tena vichuguu ambavyo zuio lilihusika kuvifunga. Uthibitisho huo pia unapaswa kuwa kwenye rekodi, ukiwa na tarehe.

Ruhusa ya kudumu iliyowekwa lebo ya marekebisho ya simu ya muda haiwezi kutetewa baada ya miaka miwili. Ruhusa iliyofungwa na huduma inayotambulika ina ukomo unaofanywa upya kwa makusudi.

Weka kikomo cha chanzo kwa uaminifu

Kuweka msamaha kwenye sehemu ya vifaa vinavyosimamiwa ni imara zaidi kuliko kufungua itifaki kwa kila kompyuta mpakato jengoni. Ikiwa mtandao hauwezi kutambua sehemu hiyo, andika hilo badala ya kuashiria kwamba kanuni inafahamu vifaa. Matokeo mazuri ya bei ya chini ni kutumia tena mpaka uliopo tayari kwa sababu nyingine, hivyo msamaha unarithi udhibiti badala ya kubuni mmoja. Kuchuja kwa anwani si uthibitishaji wa kifaa, na rekodi ya mabadiliko haipaswi kuashiria kinyume.

Anwani ya chanzo au anwani ya maunzi si ushahidi wa kifaa halisi. Ikiwa moja yao ina maana yoyote inategemea kabisa udhibiti mwingine ndani ya sehemu hiyo. Ikiwa hoja ya kanuni inategemea anwani ya MAC, angalia kinachomzuia mtumiaji kuibadilisha kabla kanuni haijatolewa.

Kubali kile kanuni ya bandari haiwezi kukuambia

Bandari hutambua vituo vya mwisho vya usafiri, si nia ya biashara. Wakati huduma ya simu iliyoidhinishwa na kichuguu kisicho idhinishwa vyote vinapita kwenye UDP 4500 moja, hakuna kanuni ya bandari inayovitenganisha. Kanuni inayodai kufanya hivyo inaonekana sahihi na haiko, jambo ambalo ni baya zaidi kuliko kanuni inayokiri umbo lake. Huu ni kikomo cha utaratibu, si kosa la aliyeandika.

Sema hilo kando ya kanuni, na unga msamaha na utekelezaji wowote ambao mtandao unayo, kama usimamizi wa vifaa au orodha ya destino zinazoruhusiwa. Kisha eleza msamaha kwa ubana kadiri chombo kinavyoruhusu, kwa mfano kwa kanuni za nftables zinazotaja sehemu na jozi ya bandari na kuweka katazo la jumla baada yao:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables hutathmini kwa mfuatano na husimama kwenye mlingano wa kwanza, hivyo ruhusa iliyowekwa kikomo lazima iwe juu ya katazo la jumla. Zigeuze hizo mbili na msamaha hautafanya chochote kimya kimya.

Thibitisha kipengele na katazo

Endesha uthibitishaji ulioidhinishwa kwenye simu ya kawaida ya Wi-Fi, kutoka daraja la kifaa ambalo msamaha upo kwa ajili yake, na thibitisha kwamba mteja aliyeondolewa bado anashindwa. Kamwe na kwa hali yoyote usitumie simu za dharura kama kesi ya jaribio. Kisha kagua kanuni iliyotolewa, kwa sababu kihesabu kilichokwama kwenye sifuri ni ushahidi wa haraka zaidi kwamba msamaha haukulingana kamwe:

nft -a list chain inet edge forward

Jumuisha kuunganisha tena au mabadiliko ya mtandao kwenye jaribio, na ulirudie kutoka mwanzo baridi ambapo simu inajiunga na mtandao badala ya kuwa imeunganishwa tayari. Ikiwa kihesabu kinasogea wakati simu bado zinashindwa, tatizo limetoka kwenye ukuta wa moto na ni la orodha ya destino za mwendeshaji.