Asterisk Firewall Правила доступа
У меня есть вопросы, касающиеся правил брандмауэра для сервера Asterisk VoIP.
У меня ограниченный доступ к UDP/TCP-порту 5060, который, кажется, блокирует вызовы.
Я хочу убедиться, что мой VoIP-сервер не взломан и не используется не по назначению. Так что, если кто-нибудь может сообщить мне, какие порты должны быть открыты для всех, я был бы очень признателен.
Любая помощь в этом очень полезна.
Прямо сейчас сервер Asterisk имеет следующий контроль доступа.
Порт USD/TCP 5060, ограниченный доступ.
UDP-порты 10000:20000, глобальный доступ для RTP-носителей.
Спасибо всем, кто внесет свой вклад в решение этой проблемы. Я очень уверен, что это будет полезно для многих администраторов.
Кстати, я ссылаюсь на эти ссылки, чтобы решить некоторые проблемы.
http://www.voip-info.org/wiki/view/Asterisk+firewall+rules
https://www.didww.com/Knowledgebase/sip_with_firewall_nat_using_asterisk/
2 ответа
Вики-публикация, на которую вы ссылались выше, серьезно ошибочна (и поэтому автор жалуется, что его все еще взламывают). Управление списком iptables вручную - неправильный подход. Еще хуже то, что автор просто ограничивает доступ к портам SIP и RTP и ищет пользовательских агентов (без ограничения исходных IP-адресов, скорости соединения и т. Д.). IP-адреса постоянно меняются, хакеры меняют строки агентов и т. Д. Если у вас дома только несколько пользователей со статическими IP-адресами, подключаются только из дома и т. Д., То такой подход просто неверен.
Если ваша цель - безопасность, взгляните на некоторые инструменты и методы для защиты вашего VoIP-сервера здесь: Asterisk Security. Плохо настроенная АТС может оставить вам счет в размере 50 тыс. Долл. После выходных звонков от хакеров.
Я открыл только порт rtp (10000:20000) и 5060 от поставщика VoIP общедоступного IP-адреса на свой сервер звездочек. Очевидно, что трафик от вашей звездочки к вашему провайдеру VoIP должен быть разрешен. Кроме того, вы можете добавить fali2ban со звездочками для создания второй боевой линии. Для повышения вашего уровня безопасности вы можете добавить в одноранговые опции (ваши расширения) исходные сети, разрешенные для регистрации вашего телефона, и использовать надежный пароль.