Исходное сообщение
"ALPACA - новая техника MITM-атак на HTTPS" Отправлено Аноним, 11-Июн-21 03:07
> Я думаю дело не просто в том, что ленивые, а в том, что это реально сложно, особенно для бытовых железок с ограниченной памятью и железом. Обыкновенный SIP-телефон стоит не сильно дороже роутеров и памяти в нём меньше, а половину цены составляют лицензии на всякие кодеки G729 и прочий проприетарный AMR. Так что враки. > И опять таки встаёт вопрос совместимости с обратной стороны софта, который уже вероятно ожидает конкретную реализацию ната. Совместимость может быть только со стандартами. Ни у NAT, ни у ALG нет стандарта. Они все вендороспецифичные и не совместимые друг с другом. Но ты этого не знаешь, потому что для того чтобы увидеть насколько хреново сделан NAT нужно воспользоваться чем-то сложнее клиент-серверной TCP-сессии. А у тебя проблема в стиле все что не могу зафаерволить с натом всё плохое. > Ну и не только в НАТе дело, попробуйте такого монстра протокольного банально разрешить или запретить в фаерволле. Этот протокол так устроен, потому что его вечно ломают косорылые бараны, которые по ошибке называют себя сетевыми администраторами. Запретить его можно только если он нешифрованый. TLS для сессий и DTLS для медиа и плакала ваша блокировка фаерволом, разве что "по IP вычислять". По DPI можете точечно гадать по хостнеймам в сертификатах. Опять же удачи с TLS1.3 и ESNI. А разрешить его клиентам просто берёте и просто выключаете ALG. На внешний современный SIP-сервер ваши клиенты подключатся из-под любого ната. А свой сервак "прокидывать" не рекомендую, лучше сразу обратитесь к системному администратору.