Страничка VOIP Инженера

Стандартная ситуация которую я вижу в обсуждениях во многих форумах. У людей есть маршрутизатор Cisco стоящий во front end. На нем крутится корпоративный NAT, VPN между офисами ну и дальше по вкусу. У начальника IT возникает «Гениальная идея». А почему бы нам с помощью этой дорогой железяки не сэкономить на телефонных переговорах. Или вообще взять по VOIP номерочек у провайдера со всеми вкусностями. Местный цискарь, обученный всяческим IT премудростям, но без какой либо практики в VOIP, насилует support провайдера, задает идиотские вопросы на форумах и самое главное методом проб и ошибок крутит все что связанно с voip в циске. И наконец, о чудо все заработало. В приподнятом настроении админ бросает все и отправляется на радостях пить пиво.

А здесь начинается самое неприятное. По в процессе экспериментов, этот админ открыл возможность транзитных VOIP звонков через циску. А в связи с тем, что ничего не работало на циске сняты все acl на голосовых портах и нет voip авторизации. Если они вообще были закрыты, поскольку по умолчанию на маршрутизаторах Cisco открыты голосовые порты и нет VOIP авторизации. Причем доступны и SIP и H323. То есть двери открыты заходи бери. Транк с авторизацией на провайдера поднят. Маршрутизация прописана.

Поэтому, при хорошем раскладе фирма за ночь получает несколько сот минут, а при плохом и тысяч, трафика на премиум направления ценой от 50 американских центов до нескольких долларов за минуту. Количество ботов сканирующих SIP порты, конечно меньше чем сканирующих ssh, mysq и www, но вреда от них на порядок больше.

Замечу из лишнего опыта. Cisco для админов, у которых /dev/hand растут из /dev/ass является самым потенциально опасным устройством, поскольку защиты от дурака не предусмотрено. Считается, что админ прошел всякого рода учебные курсы, прежде чем подошел к ней.
Выводы делайте сами.