[Frage] FritzBox Telefonie über Internet erlauben

[balombi]

Hallo zusammen,

ich habe eine Frage zur Nutzung der FritzBox-Telefonie von unterwegs über das Internet.

In der FritzBox gibt es beim hinzufügen eines "LAN/WLAN-Telefons" die Möglichkeit, die Nutzung aus dem Internet zu erlauben.
Dadurch fungiert die FritzBox ins Internet über Port 5060 bzw. 5061 nicht nur als SIP-Client, sondern auch als SIP-Server, sodass die Telefonie von unterwegs auch ohne VPN-Verbindung genutzt werden kann.

Laut AVM und anderen Forenbeiträgen ist diese Option zu aktivieren nicht die beste Lösung, ich möchte allerdings gerne die Telefonie unterwegs auch nutzen und habe aber schon eine andere VPN-Verbindung, die nicht ins Heimnetz geht, als Always-on-VPN aktiviert, die auch dauerhaft aktiviert bleiben sollte. Somit erschient mir dass als einzige Lösung, um die Telefonie unterwegs auch ohne VPN-Verbindung zur FritzBox nutzen zu können.

Die Anmeldung am SIP-Server der FritzBox passiert wohl verschlüsselt (wobei dieser Verschlüsselungsstandard laut anderen Forenbeiträgen wohl auch nicht mehr unbedingt als sicher gilt), die Mediendaten werden jedoch unverschlüsselt übertragen. Meiner Meinung nach dürfte dass aber kein Problem sein (z.B. in öffentlichen Netzwerken), da ich ja sowieso ein Always-on-VPN aktiviert habe.

Port-Scans werden den offenen Port auf jeden Fall finden, jedoch Frage ich mich, wie groß die Gefahr ist, dass der Anschluss tatsächlich gehackt und missbraucht wird, wenn ich eine sehr sichere und lange Passphrase als Passwort des SIP-Accounts verwende.

Oder gibt es sonstige Möglichkeiten, den offenen Port "zu schützen" ?

Was kann im schlimmsten Fall gemacht werden, sollte der SIP-Server gehackt werden ?
Kann über den SIP-Port 5060 bzw. 5061 etwas anderes gemacht werden, außer unberechtigte Telefonkosten zu erzeugen (z.B. Zugriff auf's Heimnetzwerk)?


Ich freue mich auf Eure Meinungen und Antworten.


Mit freundlichen Grüßen
balombi

 

[androiduser2709]

außer unberechtigte Telefonkosten zu erzeugen

Reicht das nicht?
Mir wäre es nicht gleich, wenn von meinem Anschluss z.B. die australischen Aussengebiete, Ascension oder Diego Garcia angerufen würden. Das kann je nach Sipprovider recht teuer werden.


Vollbild(er) gemäß Boardregeln als Vorschau eingebunden by stoney

 

[Zwanzigeinundzwanzig]

Das kann je nach Sipprovider recht teuer werden.

Das lässt sich in der FB doch sehr einfach begrenzen oder gar blockieren...

 

[balombi]

Doch, natürlich möchte ich auch nicht, dass unberechtigte Telefonverbindungen aufgebaut werden, aber dass müsste sich mit einer starken und langen Passphrase als Passwort doch ziemlich verhindern lassen, oder ? Und zur Sicherheit können dann ja in der FritzBox immer noch diese Verbindungen blockiert oder eingeschränkt werden, wie zwanzigeinundzwanzig meinte... Oder was meint Ihr ?

 

[chrsto]

Ein sicheres Passwort nützt dir nichts, wenn es einen Bug gibt, mit dem
man das Passwort umgehen kann. Und dass eine Sperre funktioniert und fehlerfrei arbeitet garantiert dir auch niemand.

 

[Zwanzigeinundzwanzig]

Alle kostenpflichtigen Gespräche laufen bei mir per Wahlregel über einen Prepaid-Anbieter ohne automatische Aufladung (FreeVoipDeal.com). Damit ist mein theoretisches Risiko sehr begrenzt...

 

[schnurgly]

Auf Port 5060 horcht die FB standardmäßig auf eingehende Telefonverbindungen.

 

[ip-phoneforum72]

Mach doch selbst den Check:
Aktiviere den Netzwerk Mitschnitt auf WAN Seite der FB. Lasse etwas laufen.

Schaue dir dann hinterher den im Wireshark an.

Klaere dann für dich, ob du den Tausenden (!) Anfragen an deine FB immer zutraust nicht „so gut“ zu sein, als dass die Schwachstellen (welche auch immer) nicht ausnutzen können. Oder in wie weit du einem DoS ausgesetzt sein möchtest.
Etc.

An sich sollte man das so nicht machen.

 

[KunterBunter]

Wenn man das also nicht so macht, wird man auch keinem DoS ausgesetzt sein können.