Sicherheit in meinem Asterisk-System

[tb89i]

Hallo zusammen,

vorab: ich benutze das Forum seit mehreren Wochen und konnte so auch viel über die VOIP/SIP-Telefonie lernen - Klasse Sache!

Leider ist mir der Fehler mit dem default-Context und den ausgehenden Gesprächen unterlaufen. Dadurch kamen irgendwelche Hacker/Bots dazu ins Ausland zu telefonieren. 1und1 hat zum Glück die Telefonie direkt gesperrt, ich schätze aber das trotzdem eine kleine Summe auf mich zukommen wird

Damit das System nun bestmöglich gesichert wird habe ich schon einige Sachen geändert:

• Fail2Ban mit iptables eingebaut (noch nicht getestet)
• 1und1-Vorwahlbereiche gesperrt (Auslandtelefonie konnte ich nicht sperren, aufgrund einer Weiterleitung)
• extensions.conf [default] geleert
• Überflüssige Konfigurationsdateien weggelassen (ich hab vorher mit der Asterisk-GUI gearbeitet)
• Alle Passwörter getauscht (habe jetzt erst gemerkt, dass 1und1 bis 25-Stellen akzeptiert )

Sonstige Infos:

• Asterisk (v. 1.8.) ist auf nem Ubuntu Host (mit aptitude installiert) hinter einer FritzBox (leider bietet 1und1 SIP-Telefonie nur auf Port 5060 wie mir scheint, daher musste ich die FritzBox ein wenig umstellen)
• Ich nutze einen DNS-Eintrag, da ich keine saubere Lösung gefunden habe
• Anmeldung der Telefone ist grundsätzlich nur im heimischen Netzwerk notwendig (Smartphones wären ein nice to have, aber nicht wirklich nötig)
• SNOM-300-Telefone/Softphone

Ich hab das ganze noch nicht getestet, würde aber trotzdem gerne noch Tipps und Tricks entgegenehmen, falls einem von euch noch etwas ein- oder auffällt. Gibt es eigentlich eine Möglichkeit Fail2Ban ordentlich zu testen?

• Hier sind meine Konfigurationen (Anhang anzeigen Asterisk-Configs.zip)
• Hier der Auschnitt von meiner Telefonliste, mit der telefoniert wurde (Anhang anzeigen Master.pdf)

Danke im Vorraus & viele Grüße

 

[xrated]

[*]Anmeldung der Telefone ist grundsätzlich nur im heimischen Netzwerk notwendig (Smartphones wären ein nice to have, aber nicht wirklich nötig)

Einfach nat=no (default), qualify=yes und im Router den Port 5060 nicht forwarden. Habe ich grade erst mit Portscan getestet, der Port ist nicht mehr nach aussen offen aber die Kommunikation haut trotzdem hin.

Ansonsten kann man auch mit iptables einfach alles bis auf den itsp blocken (bei 1&1 aufgrund der vielen Hosts aber schwierig)

 

[tb89i]

Sauber Danke! der Port wurde mir vom Scanner zwar auch vorher schon als geschlossen angezeigt, sollte jetzt aber auf jeden Fall sicherer sein

Grüße