Sangoma responsive firewall настройка
Обновлено: 01.07.2024
Для защиты FreePBX разработали встроенный брандмауэр, который называется Sangoma Smart Firewall. Выполнен он как отдельный модуль. И если вы устанавливали систему FreePBX 14 из дистрибутива, то этот модуль у вас уже должен быть установленным.
Кроме того при установке FreePBX 14 запускается специальный wizard (мастер настройки), с помощью которого вы настроите этот брандмауэр.
Sangoma Smart Firewall впервые появился в FreePBX 13, использует iptables и fail2ban. И продолжает совершенствоваться.
Для лучшего понимания работы брандмауэра нужно разобраться с понятием — зона. Каждый интерфейс работает в той или иной зоне, можно добавить ip-адрес или ip-подсеть в определенную зону. Доступ к различным службам возможен из той или иной зоны.
В системе используются пять предустановленных зон:
Любой новый обнаруженный интерфейс попадает в зону Trusted, а система показывает нам оповещение об ошибке конфигурации, и вы должны будете выбрать любую другую зону для нового интерфейса. Например если вы поменяете сетевой интерфейс на сервере, вы не потеряли доступ к нему.
Blacklist
Вы можете указать ip-подсети или ip-адреса которые точно не смогут подключаться к серверу. При этом доверенные сети (Trusted) имеют приоритет над черным списком.
Блокировка отключения брандмауэра
Можно заблокировать отключение брандмауэра из веб интерфейса, для этого нужно создать файл:
При этом чтобы отключить брандмауэр вам вначале нужно будет удалить файл. Ну или можно удалить модуль брандмауэра.
Пробежимся по настройкам брандмауэра
Для настройки брандмауэра перейдите в меню «Connectivity / Firewall». Слева вы увидите основные разделы, сверху вкладки для каждого раздела:
В разделе Main четыре вкладки:
- Settings - позволяет выключить Firewall или перезапустить wizard.
- Responsive Firewall — позволяет включить Responsive Firewall для протоколов VOIP. При включении доступ к протоколам VOIP будет разрешен для тех зон где он обычно запрещен, но при неверной регистрации этому ip на 60 секунд урежут скорость, а если этот же ip опять неудачно попытается подключиться его уже заблокируют на 24 часа (при этом он должен не посылать никаких пакетов в течении 24 часов чтобы быть разблокированным). Для этого используется fail2ban. Обратите внимание, если вы явно разрешите подключение VOIP для зоны Internet, то эта фильтрация не будет использоваться.
- Interfaces — здесь нужно для каждого сетевого интерфейса назначить зону (изменить её с положения Trusted).
- Networks — здесь можно назначить ip-подсетям или отдельным ip-адресам зоны.
В разделе Status три вкладки:
В разделе Services четыре вкладки:
В разделе Advanced четыре вкладки:
Важное дополнение
Эту особенность я не сразу заметил. Вначале у меня возник вопрос, почему мои телефоны подключающиеся через NAT подключились к серверу, когда я не разрешил для зоны Internet протокол SIP.
Так вот, если у вашего сервера только 1 сетевой интерфейс и абоненты подключаются к нему через NAT, то для работы Responsive Firewall нужно указать этот интерфейс как Internet, а не Local.
Если вы оставите этот интерфейс в зоне Local. То абоненты подключившиеся через NAT, все равно придут на этот интерфейс, и станут Local и не будут фильтроваться Responsive Firewall. В Firewall / Main / Networks можете добавить действительно локальную сеть сервера в зону Local, тогда абоненты из локальной сети попадут в зону Local, или не добавляйте если хотите фильтровать всех абонентов.
На веб интерфейсе астериска есть довольно простой инструмент для настройки фаервола для нашей ай-пи телефонии, он подходит для тех кто не особо знаком с iptables linux и позволяет настроить доступа к серверу прямо с веб интерфейса. Для этого проверяем есть ли соответствующий модуль: Если его нет то устанавливаем.После установки появляется соответствующее меню : Смотрим, что […]
На веб интерфейсе астериска есть довольно простой инструмент для настройки фаервола для нашей ай-пи телефонии, он подходит для тех кто не особо знаком с iptables linux и позволяет настроить доступа к серверу прямо с веб интерфейса.
Для этого проверяем есть ли соответствующий модуль:
Если его нет то устанавливаем.
После установки появляется соответствующее меню :
Смотрим, что сейчас firewall у нас пустой командой iptables -L –nv
Далее включаем фаервол
И переходим к следующей вкладке Responsive Firewall.
Отключаем тут всё, эти настройки позволяют ограниченное количество раз зарегистрироваться устройствам, которые бы при обычном сценарии сразу бы разблокировало.
Но если включено и попытка регистрации успешна, то удаленный ip затем добавляется в доверенную зону, у которой есть разрешение на использование этого протокола, и ему дополнительно предоставляется доступ к UCP.
Обратите внимание, что если вы явно предоставили доступ к протоколу внешним соединениям, эта фильтрация и ограничение доступа не будут использоваться. Это используется только тогда, когда входящее соединение обычно блокируется.
Следующая вкладка Interface. Тут всё просто: указываете какой интерфейс у вас смотрит во внутреннюю сеть, а какой в интернет, если такой имеется.
В данном случае у меня интерфейс один и он смотрит в роутер, так что ставим ему политику фаервола для доступа в интернет.
Тут можно назначать политики безопасности для отдельных адресов и целых подсетей.
В данном скриншоте для адреса 192.168.32.13 разрешены любые действия и подключение с этого адреса вообще не попадает под правила фаервола.
А подесть 192.168.55.0/24(или более привычный вариант 192.168.55.0/255.255.255.0) является локальной. Например, из неё могут подключатся телефоны более детально эти политики настраиваются на вкладке services
Во вкладке Custom Services можно сделать свою собственную связку
И вкладка Blacklist в которой можно принудительно забанить определённые адреса:
Во-первых, следует выполнить проверку установки модуля System Firewall. Для этого переходим в меню: Admin → Module Admin. Если модуль System Firewall не обнаружен , его следует установить .
Firewall в FreePBX 14
Переключаемся на настройки: Connectivity → Firewall
Если откроется следующее окно, нажимаем Enable:
Наш Firewall был включен на стадии установки FreePBX 14, поэтому наше окно настройки может отличаться от вашего.
Это делается с помощью небольшого процесса, который выполняется на сервере УАТС и автоматически обновляет правила брандмауэра на основе текущей конфигурации внешней линии (транка) и расширения УАТС.
Responsive Firewall
Включение настроек на данной вкладке отключаются блокировку любых попыток подключения.
Если входящие попытки подключения недействительны (INVALID), трафик на этом сервере будет отброшен на короткий период времени. Атакующий источник (хост) блокируется на 24 часа, если попытки аутентификации продолжаются без успеха.
Когда fail2ban включен и настроен на этом сервере, fail2ban будет отправлять вам уведомления по электронной почте, когда это произойдет.
Interfaces
Все интерфейсы должны быть назначены Default Zone (зоне по умолчанию). Любой трафик, полученный этим интерфейсом, если он не переопределен в сетях, будет иметь доступ к сервисам, доступным для этой зоны.
Внимание! Большинство интерфейсов должны быть настроены на Internet (Default Internet) интернет.
На данной вкладке необходимо указать какой интерфейс у вас смотрит в Интернет, а какой в локальную сеть. У нас виртуальная машина (ВМ) с одним сетевым интерфейсом, который служит для внешних подключений (транков) с провайдером и для подключений IP-телефонов из локальной сети.
Networks
Более точная настройка сетевых интерфейсов. В нашем случае (когда один сетевой интерфейс это более актуально).
На рисунке ниже используется подсеть 192.168.90.0/24, для которой разрешены любые подключения. Данная подсеть не попадает под правила файервола. Подсеть 10.0.3.0/24 (или 10.0.3.0/255.255.255.0) является локальной. Например, из неё могут подключатся телефоны, шлюзы.
Services
Более детально эти политики настраиваются на вкладке Services.
Службы, назначенные зонам, доступны для соединений, соответствующих этим зонам.
Extra Services
Расширенные настройки доступа различных служб. В целях безопасности следует отключить явно неиспользуемые и ограничить от доступа из сети Интернет.
Custom Services
На этой вкладке можно определить пользовательские службы. Пожалуйста, убедитесь, что вы случайно не выставляете автоматически настроенную службу, используя тот же порт и протокол.
Blacklist
Обратите внимание, что изменения в брандмауэре вступают в силу немедленно.
Advanced
Zone Information
Каждый сетевой интерфейс вашего сервера должен быть сопоставлен с зоной. Обратите внимание, что по умолчанию все интерфейсы сопоставляются с доверенными (доверенные сети не фильтруются вообще, поэтому брандмауэр для любого трафика, поступающего на этот интерфейс отключен). Зоны, которые вы можете использовать:
Port/Service Map
На этой странице отображаются обнаруженные порты и диапазоны портов для всех известных служб.
Preconfigured
На этой вкладке возможно добавить предварительно настроенный (обнаруженный) набор сетей в доверенную зону (Trusted Zone). После добавления выбранных параметров их можно при необходимости настроить на вкладке Connectivity → Firewall → Networks.
Advanced Settings
Расширенные настройки, связанные с обслуживанием системы.
Это позволяет опытным пользователям настраивать брандмауэр в соответствии с их спецификациями. Не включайте эту настройку, если вы не знаете для чего она.
Включение Reject Packets отправляет явный ответ другой машине. После чего сообщает об административной блокировке. Если параметр отключен, пакет автоматически отбрасывается, не давая злоумышленнику никаких указаний на то, что трафик перехвачен.
Отправляя пакет reject, злоумышленник понимает, что он обнаружил сервер. При отбрасывании пакета злоумышленнику не отправляется никакого ответа, и он может перейти к другой цели.
Обычно эта опция должна быть отключена, только если вы не отлаживаете сетевое подключение.
Мы рассказали как настраивать Firewall в FreePBX 14! Будем рады вашим комментариям и замечаниям.
Любое использование материалов сайта возможно только с разрешения автора и с обязательным указанием источника.
Что такое FreePBX? Это один из вариантов управления двигателем современной IP телефонии — Asterisk. Как бы не любили интеграторы эту «надстройку», безусловно именно она является лидером инсталляций IP АТС.
Да, местами дырявый, не всегда понятный, с кривой русификацией, но бесплатный. FreePBX позволяет поднять телефонный сервер в организации практически любому эникею за считанные часы, и уже в дефолтной конфигурации предоставляет возможности, которые подойдут практически всем компаниям. Другое дело, если вам вдруг не хватает функционала веб-интерфейса, и вы решаете добавить какую-то уникальную фишку…
Костыли, невозможность нормального дебага — здесь FreePBX предстанет во всей своей красе.
Тем не менее, еще в марте у вас была возможность потестировать Alpha версию, бету в июне, а сегодня я хотел бы бегло осмотреть финальный и стабильный FreePBX 13.
Компания shmooze еще на протяжении 2012 — 2013 года уверенно двигала свой продукт к коммерциализации. Бесплатные модули вдруг становились платными (end point manager, например), в свой дистрибутив добавлялось все больше коммерческих модулей, и после покупки компанией Sangoma подход не изменился, а стал еще жестче.
А что гласит логунг на главной странице проекта? «Free means Freedom» Не бесплатно, а свободно ;)
В какой-то момент руководство решило делиться FreePBX только в рамках своего FreePBX Distro, но в последствии умерили свой пыл. Сегодня вы можете собрать Linux OC + Asterisk + FreePBX самостоятельно, либо установить готовый ISO образ системы непосредственно на сервер.
Итак, что включено в последний на данный момент, доступный образ 10.13.66-6:
FreePBX 13
SHMZ OS 6.6 (CentOS)
Asterisk 11 или 13 (другие версии не поддерживаются)
DAHDI 2.10
Система устанавливается как обычно, в несколько кликов. Не забудьте выбрать --no raid, если у вас установлено несколько жестких дисков. Мы например периодически практикуем установку системы на SSD 60 Гб, а записи разговоров на соседний и обьемный HDD.
По окончании установки пакетов при подключении к сети FreePBX автоматически обновит свои пакеты на последние версии из репозиториев Sangoma.
После установки, адрес присваивается автоматически (если в сети поднят DHCP сервер, разумеется). Смотрим его в консоли или лизах DHCP.
Попадаем на сервер, устанавливаем логин / пароль администратора и видим новый, резиновый интерфейс системы.
И вот первое новшество, которое нас встречает — это закрытие доступа в раздел Admin — System Admin до регистрации системы на портале Sangoma. Ни сменить IP адрес, ни просмотреть список попавших в Fail2Ban, сменить TimeZone. DNS и прочее.
Как бонус, вы можете активировать платные модули Extension Routes и Sysadmin Pro бесплатно.
Русификация
Интерфейса системы: Settings — Advanced settings — Show language — YES
Голосовых фраз в АТС, команды выпоонять в консоли:
mkdir -p /var/lib/asterisk/sounds/ru/
затем
В интерфейсе FreePBX переходим в Admin — Sound Languages — Custom languages. Нажимаем кнопку Add.
Language Code = ru
Description = Русский
Submit.
Теперь, в Global language будет выбран по умолчанию Русский. (по крайней мере так у меня произошло на тестовой машине, впрочем вы можете выбрать русский и кликнуть Submit дополнительно)
Интерфейс FreePBX 13
Веб интерфейс системы был немного переработан, нельзя сказать что это революционное изменение, скорее действительно полезные перемены.
Например, экран пользователей разбит на вкладки (по типу подключения), а также добавлена кнопка быстрого добавления юзеров.
И да теперь вы можете настраивать офисную АТС с помощью планшета или смартфона, меню и ширина автоматически подстроятся под ваш экран.
Команды fwconsole
В Free PBX 13 добавлена возможность управление АТС через командную строку Linux с помощью fwconsole
Amportal будет «убит» окончательно во FreePBX 14
Список команд вы можете увидеть ниже (либо вбить на сервере fwconsole list)
bulkimport This command is used to import extensions and dids
chown Change ownership of files
context Shows the specified context from the dialplan
cx Shows the specified context from the dialplan
dbug Stream files for debugging
debug Stream files for debugging
externalip Get External IP
extip Get External IP
help Displays help for a command
list Lists commands
m Run a mysql Query:
ma Module Administration
moduleadmin Module Administration
motd Prints MOTD
mysql Run a mysql Query:
r Reload Configs
reload Reload Configs
restart Start Asterisk and run other needed FreePBX commands
session Manage Session
set View and update settings
setting View and update settings
sounds Sound Language Prompts
start Start Asterisk and run other needed FreePBX commands
stop Stop Asterisk and run other needed FreePBX commands
sysadmin Sysadmin functions
trunks Enable and disable trunks from the command line
unlock Unlock Session
userman User Manager
util Common utilities
Микс настроек через веб-интерфейс и консольных Linux команд. Впрочем, может быть полезно, если вы забыли пароль для веб-администрирования или желаете перечитать конфиги.
Система обновления платных модулей
Очередная ложка дегтя для пользователей FreePBX.
Большинство продаваемых модулей системы были доступны по схеме: покупка лицензии на 25 лет и 1 год бесплатного апдейта версий, то есть заплаток и обновлений функционала. Вы пользуетесь год, а потом доплачиваете разработчикам какую-то сумму, поддерживая дальнейшее развитие модуля. Либо не платите и работаете с той версией, что у вас уже есть.
Вроде все понятно и красиво, если бы не одно но, в FreePBX не было механизма продления, и поэтому они все это время предоставляли апдейты бесплатно. Теперь есть, и вы можете продлить модули непосредственно из GUI.
Firewall
Новый модуль Sangoma Smart Firewall, уже включен в состав нового FreePBX. Чтобы его активировать — следует перейти в Connectivity — Firewall и нажать Enable. Разумеется, гуру iptables могут творить чудеса, но разве это целевая аудитория FreePBX?
Вы можете пройти простейший автоконфигуратор, и настроить дефолтную защиту, но можете и копнуть чуть поглубже и настроить firewall более корректно.
Заключение
FreePBX 13 — продукт достаточно свежий, не удивлюсь, если ближайшие полгода мы увидим большое количество допилов и доработок.
Буквально сегодня я столкнулся с проблемой неработающей платы Digium и понадобилось обновление прошивки.
Начиная знакомство с FreePBX, даже опытные системные администраторы зачастую допускают одни и те же ошибки, которые способны серьезно испортить настроение и отбить всякое желание продолжать освоение этой системы.
В первую очередь, безусловно, это ошибки, связанные с безопасностью станции. Помните, что подключаясь к оператору телефонии вы несете полную финансовую ответственность за звонки, даже если на самом деле вы их не совершали! Давайте посмотрим, что нужно сделать в первую очередь, а чего делать категорически нельзя.
Сразу же после установки системы необходимо отключить возможность приема гостевых и анонимных звонков, если, конечно, вы не собираетесь их использовать. В противном случае, вы фактически предоставляете возможность любому человеку осуществлять звонки через вашу станцию, что может привести к значительным финансовым потерям.
Настройки — Установки Asterisk для SIP — Общие настройки SIP
Настройки — Установки Asterisk для SIP — Установки канала SIP
Несмотря на то, что FreePBX постоянно обновляется, и разработчики прикладывают большие усилия к обеспечению безопасности системы, периодически обнаруживаются уязвимости в коде, используя которые злоумышленники могут получить, например, параметры доступа к вашим операторам связи. Несмотря на то, что в таком случае звонки будут поступать не с вашей станции, оператор, скорее всего, потребует оплаты именно с вас. Поэтому не следует забывать о защите веб-интерфейса: если сервер установлен в вашей локальной сети, не стоит пробрасывать 80 порт наружу — для удаленной настройки вы можете использовать vpn, ssh-тоннель или любой другой способ доступа. Если же FreePBX установлен на удаленном сервере или по какой-то другой причине имеет прямой доступ в сеть, можно ограничить возможность подключения по 80 порту на уровне iptables, а также использовать парольную защиту Basic Auth как дополнительное средство обеспечения безопасности.
В случае, если вы установили FreePBX с официального образа, вам нужно будет отредактировать файл
В самый конец, перед последней строкой нужно добавить следующее
AuthType Basic
AuthName «Administrative zone»
AuthUserFile /.htpasswd
Require valid-user
Обратите внимание на путь к файлу .htpasswd — вы можете задать любой путь для его хранения. Затем потребуется собственно создать аккаунт. Перейдя в выбранную директорию, выполните
и введите пароль для пользователя admin.
Не забудьте перезагрузить apache:
И проверьте результат:
Также следует обратиться к вашему оператору связи и ограничить возможность подключения с вашими учетными данными по ip-адресу: в таком случае, даже если злоумышленники получат ваш логин и пароль, воспользоваться ими не получится.
Безусловно, нельзя забывать и о безопасности аккаунтов пользователей на вашей станции. Если возможно (например, все ваши пользователи находятся в локальной сети), обязательно ограничивайте возможность подключения по ip-адресам — даже если пароль определенного пользователя будет скомпрометирован, воспользоваться им извне злоумышленники не смогут.
Приложения — Внутренние номера — Внутренний номер — Расширенный
Бывают ситуации, когда ограничить пользователя по ip не представляется возможным — например, аккаунт используется с мобильного телефона, из разных 3g, 4g, и wifi-сетей. В таком случае, в первую очередь, проверьте надежность ваших паролей. Запомните, даже на “пустой” станции, даже для тестирования, никогда не нужно ставить пароли типа qwerty, ведь забыть впоследствии о таком аккаунте проще простого, как и подобрать такой пароль.
Приложения — Внутренние номера — Внутренний номер — Общие
Необходимо задуматься и о переборе паролей. Естественно, если ваш сервер обслуживает клиентов из одной сети и подключается к одному оператору связи, вы можете и даже должны ограничить возможность подключения к sip-порту (обычно, 5060) для всех, кроме известных адресов своих сетей и провайдеров, например, так, если вы устанавливали FreePBX вручную
-A INPUT -s xxx.xxx.xxx.xxx/32 -p udp -m udp --dport 5060 -j ACCEPT
-A INPUT -s yyy.yyy.yyy.yyy/32 -p udp -m udp --dport 5060 -j ACCEPT
-A INPUT -p udp -m udp --dport 5060 -j DROP
Или воспользоваться встроенным модулем веб-интерфейса Firewall, если вы установили систему с официального образа. Вы можете задать доверенные и внешние сети вручную в меню
Подключения-Firewall-Zones-Network
И затем определить, к каким сервисам будет открыт доступ в закладке
Подключения-Firewall-Services
Но не всегда возможно оставить только несколько подсетей для sip-порта. В таком случае крайне рекомендуется поставить fail2ban и настроить его на использование с asterisk. Этот демон, основываясь на логах попыток авторизации, блокирует слишком настойчивых на определенное время после заданного числа попыток авторизации, что позволяет пресекать брутфорс. В последних версиях fail2ban правила для asterisk уже включены в поставку, но рекомендуется проверить его работоспособность — выполнить несколько попыток регистрации с заведомо неверным логином и паролем (только обязательно не с того же ip-адреса, с которого вы подключаетесь к серверу!) и проверить, заблокируется ли этот адрес командой
В официальной сборке FreePBX система защиты от перебора паролей уже установлена и настроена. Заблокированные адреса можно найти в закладке
Подключения-Firewall-Статус
Очень часто, особенно в небольших организациях, когда используется только один провайдер, системные администраторы не уделяют внимания грамотной настройке исходящих маршрутов, ограничиваясь шаблоном X., разрешая таким образом всем пользователям звонить на любой номер телефона. Даже если полностью исключить возможность совершения звонков злоумышленниками, нельзя забывать о том, что пользователь может просто ошибиться и позвонить куда-нибудь в Доминиканскую республику, так что ограничивать исходящие звонки нужно в обязательном порядке. Обычно достаточно добавить шаблоны вызова городских и мобильных номеров телефонов, для РФ маршрут может выглядеть так:
Подключения — Исходящая маршрутизация — маршрут — Правила набора
Здесь мы задаем, что номер должен быть 11-значным, начинаться с 8, и вторая цифра должна быть 3,4,8 или 9, что полностью перекрывает все Российские номера, а также разрешаем звонить через этот маршрут только внутренним номерам 100-199. В случае, если кому-то из сотрудников нужно открыть международные звонки, следует добавить дополнительный маршрут для него перед основным, и обязательно в поле CID указать его номер или шаблон номеров, если таких сотрудников несколько.
А также стоит всегда указывать количество одновременных исходящих вызовов в настройках транков, особенно в том случае, если они не ограничены на стороне оператора (10 сотрудников никак не смогут сделать 100 исходящих вызовов), а вот в случае несанкционированных звонков взломщики пытаются звонить в максимальное количество потоков.
Подключения — Транки — Настройки Транка — Общие
Приложения — Очереди — Настройки очереди — Параметры времени и операторов
Приложения — Очереди — Настройки очереди — Параметры емкости очереди
Голосовые приветствия и голосовые меню — безусловно, полезные и нужные функции, используемые почти каждой организацией, решившей перейти на FreePBX, но и при их настройке часто допускаются ошибки. Во-первых, модуль Приветствие, то есть просто воспроизведение голосового ролика, который нельзя пропустить (или можно пропустить по нажатию клавиши, о чем обычно забывают уведомить пользователя), стоит использовать только тогда, когда в этом есть насущная необходимость. Мне доводилось видеть как в Приветствие помещают ролик длительностью одна минута, и только после него следует IVR с предложением выбрать нужный отдел. Когда клиент звонит в первый раз, это воспринимается нормально, но когда он перезванивает пятый раз за час, и пятый раз подряд слушает о том, как компания рада его звонку, он начинает сомневаться в этом. Клиент уже точно знает, что ему нужно нажать кнопку 2 и переключиться на нужный отдел, но его раз от раза заставляют прослушать приветствие целиком. По максимуму сократите использование Приветствий, используйте IVR и разрешите прямые наборы — это позволит сократить время ожидания клиента и не раздражать его.
Еще при создании Интерактивного меню IVR часто забывают сменить настройки по умолчанию, касающиеся неверного набора — при нажатии клавиши, которая не описана в правилах, ролик повторяется несколько раз. Такое поведение уместно только в случае, если выбор должен быть сделан обязательно (крайне редкий случай), и совершенно неуместно в первом, приветственном голосовом меню. Отключайте повторы голосового меню и переводите звонок на назначение, используемое по умолчанию: на секретаря, в очередь менеджеров и так далее. То же касается и тайм-аута набора.
Приложения — Интерактивное меню (IVR) — Настройки IVR
Если вы не уверены в том, что на вашем FreePBX исключены эти и другие ошибки, и хотите чувствовать себя в безопасности, обратитесь к нам, и профессионалы с многолетним опытом работы в сфере ip-телефонии проведут аудит системы и исправят все допущенные ошибки.
Читайте также: