Telefonning Wi-Fi Calling xizmatini buzmasdan IPsecni bloklash

So'rov har doim bir xil shaklda keladi: chekkada IPsecni yoping, chunki u hech kim tasdiqlamagan tunnellarni olib yuradi, va birinchi shikoyat telefoni Wi-Fi orqali qo'ng'iroq qilishni to'xtatgan odamdan keladi. Ikkala fakt bir vaqtda to'g'ri va hech biri nazoratdan voz kechishni oqlamaydi. Yong'in devoriga nomlangan funksiya, cheklangan manba, hujjatlashtirilgan manzillar va egasi bo'lgan xizmat istisnosi kerak. Besh qadam buni kelasi yil begona odam ko'rib chiqa oladigan qoidaga aylantiradi.

Protokolni nomlashdan oldin xizmatni nomlang

SIP xizmatidagi stol telefoni va operatorning Wi-Fi Calling xizmatini bajaradigan qurilma bir xil tarmoq profilini baham ko'rmaydi va yong'in devori atamasi sifatida VoIP ikkalasini ham tasvirlamaydi. Port va manzil ma'lumotlari xizmatni yuritadigan yetkazib beruvchi yoki operatoradan kelishi kerak, boshqa telefon tizimiga tegishli eslab qolingan port ro'yxatidan emas. Bu funksiyani himoya qiladigan qoida bilan so'zni himoya qiladigan qoida o'rtasidagi farq.

Apple'ning xizmat portlari ma'lumotnomasi Wi-Fi Calling uchun UDP 500 va 4500ni sanaydi, bu esa aksariyat umumiy IPsec bloklari tashlab yuboradigan aynan o'sha juftlikdir. Funksiya nomini o'sha portlar yonidagi o'zgarish yozuviga yozing. Foydalanilgan ma'lumotnomaning versiyasi yoki sanasini qo'shing, chunki yetkazib beruvchilar jadvallari tahrirlanadi. O'zi uchun mavjud xizmatni nomlaydigan qoidani ko'rib chiqish mumkin; protokol toifasini nomlaydiganini yo'q.

Istisnoni yaxshilik emas, shartnoma sifatida yozing

Istisno ruxsat etilgan funksiyani, undan foydalanadigan qurilma sinflarini, zarur transportni va mas'ul tomon hujjatlashtiradigan manzillarni ko'rsatadi. Unda egasi va ko'rib chiqish sanasi ham bor, chunki operatorning oxirgi nuqtalari va qurilma modellari yong'in devori jamoasiga xabar bermasdan o'zgaradi. Ko'rib chiqishni jamoadan uzoq yashaydigan jamoa nomiga emas, odamga topshiring. Ifodani begona odam qoidani faqat yozuvdan qayta chiqara oladigan darajada aniq saqlang.

Istisnoni chekka siyosatining qolgan qismi bilan bir xil siklga qo'ying, shunda operator manzilni ko'chirsa yoki park qurilma modelini almashtirsa, bu keyingi uzilishda emas, ko'rib chiqishda seziladi. Buzilgan qo'ng'iroqlar haqida xabar bergan odam bilan siklni yoping, chunki blok yopishi kerak bo'lgan tunnellni qayta ochmasdan tuzatishni faqat u tasdiqlay oladi. Bu tasdiq ham sanasi bilan yozuvda bo'lishi kerak.

Vaqtinchalik telefon tuzatishi deb belgilangan doimiy ruxsat ikki yildan keyin himoya qilib bo'lmaydi. Aniqlangan xizmatga bog'langan ruxsatning ataylab yangilanadigan muddati bor.

Manbani halol cheklang

Istisnoni boshqariladigan qurilma segmenti bilan cheklash binodagi har bir noutbuk uchun protokolni ochishdan ancha kuchli. Agar tarmoq bu segmentni taniy olmasa, qoida qurilmalarni biladi deb ishora qilish o'rniga shuni yozing. Eng arzon yaxshi natija boshqa sabab bilan allaqachon mavjud chegarani qayta ishlatishdir, shunda istisno yangi nazoratni o'ylab topmay, uni meros oladi. Manzil bo'yicha filtrlash qurilma autentifikatsiyasi emas va o'zgarish yozuvi buning aksini ko'rsatmasligi kerak.

Manba manzili yoki apparat manzili jismoniy qurilmaning dalili emas. Ulardan birining ma'nosi bor-yo'qligi butunlay o'sha segment ichidagi boshqa nazoratlarga bog'liq. Agar qoida uchun dalil MAC manziliga tayansa, qoida chiqishidan oldin foydalanuvchiga uni o'zgartirishga nima to'sqinlik qilishini tekshiring.

Port qoidasi aytib bera olmaydigan narsani qabul qiling

Portlar transportning oxirgi nuqtalarini belgilaydi, ish niyatini emas. Tasdiqlangan qo'ng'iroq xizmati va tasdiqlanmagan tunnell bir xil UDP 4500 orqali o'tganda, hech qanday portga asoslangan qoida ularni ajratmaydi. Buni qiladi deb da'vo qiladigan qoida aniq ko'rinadi, lekin unday emas, bu esa o'z shaklini tan oladigan qoidadan yomonroq. Bu mexanizmning chegarasi, yozgan odamning xatosi emas.

Buni qoida yonida ayting va istisnoni tarmoqda mavjud ijro bilan, masalan qurilmalarni boshqarish yoki ruxsat etilgan manzillar ro'yxati bilan bog'lang. So'ngra istisnoni asbob ruxsat berganicha tor ifodalang, masalan segment va port juftini nomlaydigan va umumiy taqiqni ulardan keyin qo'yadigan nftables qoidalari bilan:

nft add rule inet edge forward ip saddr 10.40.0.0/24 udp dport { 500, 4500 } counter accept
nft add rule inet edge forward udp dport { 500, 4500 } counter drop

nftables tartib bilan baholaydi va birinchi mos kelishda to'xtaydi, shuning uchun cheklangan ruxsat umumiy taqiqdan yuqori turishi kerak. Ikkalasini almashtiring va istisno jimgina hech narsa qilmaydi.

Funksiya va taqiqni tekshiring

Tasdiqlangan tekshiruvni oddiy Wi-Fi qo'ng'iroqida, istisno mavjud bo'lgan qurilma sinfidan o'tkazing va chiqarilgan mijoz hali ham muvaffaqiyatsiz bo'lishini tasdiqlang. Hech qanday holatda tez yordam qo'ng'iroqlarini sinov holati sifatida ishlatmang. So'ngra chiqqan qoidani ko'zdan kechiring, chunki nolda qotib qolgan hisoblagich istisno hech qachon mos kelmaganining eng tez dalilidir:

nft -a list chain inet edge forward

Sinovga qayta ulanish yoki tarmoq o'zgarishini kiriting va uni telefon tarmoqqa allaqachon ulangan emas, yangi ulanayotgan sovuq boshlanishidan takrorlang. Agar hisoblagich harakatlanib, qo'ng'iroqlar hali ham muvaffaqiyatsiz bo'lsa, muammo yong'in devorini tark etgan va operatorning manzillar ro'yxatiga tegishli.