sip secret verschlüsselt mit realtime?

[prochmi]

hallo,
gibt es irgendeine möglichkeit das secret aus der sip.conf verschlüsselt zu hinterlegen (ev. mit asterisk realtime)?

oder kann man direkt gegen LDAP authentifizieren?

das problem ist folgendes, ich habe eine große benutzerdatenbank (~1000 benutzer), von denen jeder einen VOIP account haben soll.
die passwörter sind im ldap natürlich verschlüsselt.

mfg,
michael

 

[betateilchen]

gibt es irgendeine möglichkeit das secret aus der sip.conf verschlüsselt zu hinterlegen

oder kann man direkt gegen LDAP authentifizieren?

Beides ist mit "ja" zu beantworten. Eine Authentifizierung ist direkt gegen MD5-Hash möglich. Voraussetzung für die LDAP-Authentifizierung ist der neue Realtime-LDAP-Treiber, den ich aber im Produktivbetrieb derzeit noch nicht einsetzen würde.

 

[prochmi]

dankeschön.

das heißt beides nur über realtime? oder kann man es auch in der sip.conf verschlüsselt ablegen?

wird realtime in den nächsten monaten soweit sein, das man es produktiv einsetzen kann?

mfg,
michael

 

[Maik]

Was du suchst nennt sich md5secret. Das geht mit und ohne Realtime.

 

[betateilchen]

Was du suchst nennt sich md5secret. Das geht mit und ohne Realtime.

Ja, klar - man kann in der sip.conf das MD5SECRET direkt eintragen.

Aber:

1.) wenn man per LDAP authentifizieren will, kommt man um Realtime nicht drumrum.

2.) ich glaube nicht, daß prochmi große Lust hat, die MD5 Paßwörter von ~1000 Usern in die SIP.conf einzutragen

3.) was passiert, wenn ein User sein Paßwort ändert ? Letztendlich ist das mit Paßwörtern in Konfigurationsdateien meines Erachtens viel zu statisch.

wird realtime in den nächsten monaten soweit sein, das man es produktiv einsetzen kann?

REALtime an sich ist schon lange produktiv nutzbar. Neu ist lediglich der LDAP-Treiber für die Datenbeschaffung. Der wurde z.B. in der letzten Woche nochmal komplett geändert. Aber wenn Du dazu weitere Informationen suchst, kannst Du auch mal diesen Thread verfolgen.

 

[prochmi]

super, danke.

ob ich realtime einsetzen möchte/werde weiß ich noch nicht sicher.

falls nicht, werden die configfiles sowieso per script erzeugt.

zu meiner situation:
ich habe einen LDAP server mit lesezugriff.
d.h. ich könnte dagegen authentifizieren.

für die rund 1200 accounts soll VOIP angeboten werden (für ~2000 accounts ist geplant).

d.h. ich werde vermutlich einfach in der nacht ein script laufen lassen, das mir meine configfiles mit dem ldap abgleicht, und das passwort verschlüsselt hinterlegen, oder astersik realtime verwenden.

mfg,
michael

 

[betateilchen]

Genau für Deine Anwendung wurde doch Realtime entwickelt. Und wenn Du schon mit einem Script arbeiten willst, dann mach doch ein Skript, das die Paßwörter in die MySQL-Datenbank überträgt, anstatt die Config-Files neu zu schreiben. Für die VoIP-User sind dann nämlich überhaupt keine Einträge mehr in der sip.conf notwendig !

Am elegantesten ist natürlich die Authentifizierung gegen LDAP - da brauchst Du überhaupt keine Daten doppelt vorzuhalten

 

[prochmi]

würdest du dann alles in die DB auslagern, oder nur die SIP.conf?

d.h. ich könnte in der config statt dem passwort einfach sagen, das er gegen LDAP authentifizieren soll?

werd ich mir mal genauer anschauen, danke.

mfg

 

[betateilchen]

d.h. ich könnte in der config statt dem passwort einfach sagen

Der Realtime-LDAP Treiber gibt die Möglichkeit, einen SIP-User konfigurationmäßig zu teilen: einmal die Authentifizierung (erfolgt über die objectClass "simpleSecurityObject") und einmal die Konfiguration. Die Verknüpfung wird über ein Attribut hergestellt, indem beim User eingetragen wird, welcher Konfigurationseintrag verwendet werden muß. Die einzige Voraussetzung, um das in einem bestehenden System umzusetzen, ist das Hinzufügen von einer oder zwei objectClass zu dem User-Datensatz. Aber das läßt sich ja über eine Massenänderung einmalig relativ problemlos durchführen.

Auf meinem Asterisk ist die IAX.conf (derzeit nur die User), die SIP.conf (derzeit nur die User) und die EXTENSIONS.conf bereits auf LDAP ausgelagert.

Natürlich unterstützt der LDAP-Treiber auch das komplette Konfigurieren einer .conf-Datei. Aber um das zu testen, hatte ich am Wochenende einfach keine Lust mehr :wink:

 

[prochmi]

gibts zu dem ding (und generell zu asterisk realtime) auch irgendwo eine vernünftige / aktuelle doku? (außer voip-info.org, das leider nicht immer besonders aktuell ist)

mfg,
michael

 

[betateilchen]

Also die Dokumentation zu Realtime auf voip-info.org ist eigentlich sehr gut, komplett und aktuell.

Was die Dokumentation zu dem LDAP-Treiber angeht, da solltes Du einfach mal den Beitrag lesen, dessen Link ich Dir schon weiter oben einmal geschickt hatte.