LINUX.ORG.RU

Как безопасно высунуть asterisk в инетрент ?

 ,


0

2

Долгое время крутился астериск в локальной сети. К sip-провайдерам цеплялся по разрешенным в netfilter адресам. От остального интернет был изолирован. Понадобилось подключать несколько мобильных клиентов. VPN - отличный вариант, но не в данном случае, ибо заставить делать дополнительные движения этих клиентов нереально. Натить порты напрямую на sip-сервер рассматриваю как крайний, и нежелательный вариант. Что ещё можно засунуть между интернет и СИП-сервером для обеспечения связью внешних клиентов ? SIP-прокси можно заточить для этих целей ? У меня весьма поверхностные знания в этой области.

Заранее спасибо !

★★★

Попробуй Kamailio.

Если вопрос только в безопасности, то fail2ban, SIP over TLS, SRTP...

Turbid ★★★★★
()
Последнее исправление: Turbid (всего исправлений: 2)

Как уже написали: fail2ban, SIP over TLS, SRTP

Плюс настроика sip.conf:

alwaysauthreject=yes - всегда отвечать «неправильный пароль»

useragent=Asterisk PBX - не показывать версию Астериска

domain=yourhostname.ru - разрешить регистрацию, только если в заголовках указан реальный домен. В основном перебором пользуются и регистрируются на IP.

allowguest=no

Для всех «немобильных» пиров задать acl по IP.

call-limit=2 каждому мобильному пиру. Если даже взломают, чтобы много не назвонили

Поотключать все ненужные модули для неиспользуемых протоколов, типа SCCP. Ну и сложные пароли...

paganmind
()

Один из вариантов - вывесить в интернет нестандартный порт. Клиентам его указать не проблема, а от автоперебора постоянного спасет.

keir ★★
()

эту тему обсасывали уже тысячи раз на различных ресурсах. как минимум следующие ссылки

http://www.ipcomms.net/blog/70-11-steps-to-secure-your-asterisk-ip-pbx

http://blogs.digium.com/2009/03/28/sip-security/

еще от себя - поставь нестандартный realm чтоб не светить что это именно астер.

ну и все что написали выше - fail2ban, kamailio. По поводу SIP+TLS и SRTP - хз. это не вся оконечка умеет, а некоторая умеет коряво. есть шанс набрать себе геморрой на задницу. хотя вещь безусловно полезная. геморрой лечится выпуском краткой инструкции с перечислением поддерживаемого софта/оборудования. Типа «если вы юзаете родной ведроидный сип вместо зойпера, то вы ссзб и я вам помогать не буду».

upcFrost ★★★★★
()

Всем спасибо. Не буду, значит, усложнять - проброшу порты снаружи к астериску, с учетом рекомендаций.

По поводу клиента - зойпер этим пользователям перебор будет. CSip simple - был бы в самый раз. Как он в бою ? Есть у кого опыт ?

ovax ★★★
() автор топика
Ответ на: комментарий от ovax

В бою устроила только Bria на 100% на iPhone (да, платная, но цена копеечная). И если мобильные сети, тогда нужно использольвать tcp или tcp+tls.

Zoiper не сигнализировал о вызовах, когда работал в фоне (iPhone), а на Андроиде отлично работал и встроенный sip-клиент (не помню с какой версии появился). Лучше, чем CSip simple, по крайней мере.

paganmind
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.