Onderwerp: Beveiliging van Asterisk

Beste WHT'ers,


Ik zie hier regelmatig onderwerpen voorbij komen m.b.t. Asterisk en voip.

Wat ik hier eigenlijk niet tegen ben gekomen is hoe je je Asterisk server beveiligd hebt.

Vooral als de betreffende server gehost wordt binnen een datacenter dient er extra aandacht geschonken te worden aan de firewall.
In principe is je Asterisk benaderbaar vanaf elk willekeurig ip adres, ook al heeft men de zaak beveiligd met verschillende wachtwoorden.

Zelf ben ik me al een tijdje gaan verdiepen om Asterisk te beveiligen tegen eventuele attacks van kwaadwillende ip adressen of nog erger dat men kan bellen via je server.

Vandaag heb ik eindelijk de stap genomen om alle ip adressen te blokkeren anders dan mijn eigen ip of van mijn eigen trunks.

Voor te beginnen heb ik alle poorten geblokkeerd welke met de webbrowser of ftp zijn te benaderen zoals poort 80, 21, 22 enz enz
Deze zijn alleen te benaderen vanaf mijn eigen ip adres.
Alle overige ip adressen hebben geen enkele toegang tot deze poorten.

Alle overige poorten mogen alleen gebruikt worden door mijn sip trunks en mezelf uiteraard.

Een handige tool hiervoor is webmin, indien men niet zo'n kaas gegeten heeft van iptables.

Webmin zit standaard in pbxinaflash, en uiteraard kan men nog veel meer met webmin.

Zorg dus ervoor dat je Asterisk server goed beveiligd is, en deze alleen te bereiken is voor bevoegde personen.
Op deze manier kan men een hoop ellende van eventuele ddos attacks op de server flink verminderen.
Bovendien heb ik het idee dat de performance van Asterisk ook beter wordt.

Dit heeft natuurlijk te maken dat geen enkel onbevoegd netwerk van buitenaf toegang meer heeft tot de server.

Wat ik zelf met mijn asterisk heb gedaan is APF geinstalleerd. Je zegt tegen APF dat hij alleen naar de IP's luisterd die je opgeeft / alleen toegang krijgen. Als je als bedrijf een eigen asterisk server hebt, en alleen voor je eigen kantoor / thuis omgeving gebruikt voer je alleen deze IP adressen in, en natuurlijk het IP adres van je VoIP leverancier.

Het is lastig om alle poorten en IP's te controleren, zeker als je derden (klanten) gebruik laat maken van je infra. Heb ik het nog niet eens over mensen met een Dynamisch IP adres. Gewoom Asterisk in een dedicated omgeving draaien los van andere services en deze ook uit zetten op je server.

Een firewall (APF bijvoorbeeld) is zeker nodig. Dan gewoon al enkel de poorten die nodig zijn open laten en al de andere poorten dicht smijten. Dan is het nog mogelijk om door bijvoorbeeld een range al enkel een bepaalde ISP of land toegang te geven tot de server wat ook al heel veel mogelijke aanvallen zou kunnen uitsluiten.