Вопросы безопасности при использовании маршрутизаторов Cisco для VOIP
Стандартная ситуация которую я вижу в обсуждениях во многих форумах. У людей есть маршрутизатор Cisco стоящий во front end. На нем крутится корпоративный NAT, VPN между офисами ну и дальше по вкусу. У начальника IT возникает «Гениальная идея». А почему бы нам с помощью этой дорогой железяки не сэкономить на телефонных переговорах. Или вообще взять по VOIP номерочек у провайдера со всеми вкусностями. Местный цискарь, обученный всяческим IT премудростям, но без какой либо практики в VOIP, насилует support провайдера, задает идиотские вопросы на форумах и самое главное методом проб и ошибок крутит все что связанно с voip в циске. И наконец, о чудо все заработало. В приподнятом настроении админ бросает все и отправляется на радостях пить пиво.
А здесь начинается самое неприятное. По в процессе экспериментов, этот админ открыл возможность транзитных VOIP звонков через циску. А в связи с тем, что ничего не работало на циске сняты все acl на голосовых портах и нет voip авторизации. Если они вообще были закрыты, поскольку по умолчанию на маршрутизаторах Cisco открыты голосовые порты и нет VOIP авторизации. Причем доступны и SIP и H323. То есть двери открыты заходи бери. Транк с авторизацией на провайдера поднят. Маршрутизация прописана.
Поэтому, при хорошем раскладе фирма за ночь получает несколько сот минут, а при плохом и тысяч, трафика на премиум направления ценой от 50 американских центов до нескольких долларов за минуту. Количество ботов сканирующих SIP порты, конечно меньше чем сканирующих ssh, mysq и www, но вреда от них на порядок больше.
Замечу из лишнего опыта. Cisco для админов, у которых /dev/hand растут из /dev/ass является самым потенциально опасным устройством, поскольку защиты от дурака не предусмотрено. Считается, что админ прошел всякого рода учебные курсы, прежде чем подошел к ней.
Выводы делайте сами.
Март 3rd, 2010 | 17:24
А в каком документе Cisco это чётко написано?
Март 4th, 2010 | 09:51
А где написано, что уходя из дому надо закрывать дверь на ключ
Март 5th, 2010 | 09:27
Необходимо уточнить, что по-умолчанию функционал IP-to-IP шлюза на роутерах cisco отключен. И возможен вариант только PSTN(POTS)-to-IP (в обе стороны).
Для включения IP2IP необходимо прописать команды:
voice service voip
allow-connections «протокол» to «протокол»
Где «протокол» — это «h323″ или «sip». В зависимости от платформы и версии прошивки, возможно до 4-х вариантов данной команды.
Но даже если эти команды не прописаны, а порты udp/5060 и tcp/1720 открыты, то железку можно заDoSить из интернета, поскольку запросы она будет принимать и пытаться обработать.
Март 5th, 2010 | 09:35
Хочу добавить еще одну рекомендацию. При установлении любого соединения циска ищет два dial-peer-а: один входящий, второй — исходящий. Причем, если подходящего входящего нет, то используется dial-peer по-умолчанию (0-й).
Так вот рекомендую не полениться и прописать вмето дефолтного dial-peer-а что-нибудь вроде такого:
voice translation-rule 1
rule 1 // /7777/
voice translation-profile Trash
translate called 1
dial-peer voice 1 voip
translation-profile incoming Trash
incoming called-number .T
dial-peer voice 2 voip
preference 1
translation-profile incoming Trash
incoming called-number .T
session protocol sipv2
А для номеров, на которые вам действительно нужно принимать звонки (например 4181111), прописывать более точные dial-peer-ы:
dial-peer voice 3 voip
incoming called-number 4181111
Октябрь 5th, 2011 | 12:45
На нашу AS5350 приходят два потока от двух провайдеров, один (E1) h.323, другой по SIP. Номерация приходящая по E1 отрабатывается нормально, проигрываются IVR, рабтает переадресация, груповые вызовы … А вот по SIP проблемы
SIP могу приземлить только на один внутренний номер (у нас связка с CUCM 6.1), на IVR не работает, переадресация не работает (включается фоновая музыка и больше соединения не происходит)… Могу ли я расчитывать на ваши рекомендации и помощь?? Я прогуглил весь интернет и ответов, к сожалению, не нашел 
Октябрь 5th, 2011 | 13:20
Это вряд ли.
Во первых из корпоративной этики, вы у конкурентов взяли поток, а я должен еще на них работать.
Во вторых Call Manager не знаю настолько хорошо, чтобы так с лету без логов и прочего дать совет.
У меня висят клиенты с кошками работают. Кому-то помагал, кто-то сам разбирался.
Октябрь 5th, 2011 | 15:10
У конкурентов? )
Я надеялся на этику сетевых админов, которые помогают друг-другу )