Настройка фаервола

Этот перевод выполнен автоматически и ещё не вычитан. Читать английскую версию

У коммутатора есть встроенный фаервол, который ограничивает, кто может обращаться к SIP, веб-интерфейсу, TFTP, SSH и базе данных. Вы также можете поставить перед коммутатором внешний фаервол для защиты от DDoS и сканирования портов. На этой странице настраиваются оба. Заложите 20 минут.

Перед началом

У вас есть доступ Administrator (администратор) к корневой среде панели.
У вас есть список IP-адресов, которым разрешён доступ к веб-интерфейсу, и адреса SIP-оборудования ваших клиентов и вендоров.
Вы знаете публичные IP-адреса коммутатора.

Шаг 1: Ограничьте доступ с помощью IP Firewall

IP Firewall (IP-фаервол) содержит правила разрешения и запрета для каждого типа доступа. Каждый тип заканчивается правилом по умолчанию для 0.0.0.0 с маской сети 0.0.0.0, что означает любой адрес. Правила над ним проверяются первыми, сверху вниз.

Тип	Порт	Правило по умолчанию
Web	TCP `80`, `443`: веб-интерфейс и XML-RPC API	Allow
SIP/UDP	UDP `5060`	Allow
SIP/TCP	TCP `5060`	Deny
SIP/TLS	TCP `5061`	Deny
TFTP	UDP `69`: автонастройка IP-телефонов	Deny
SSH	TCP `22`, для всего коммутатора	Deny
DB	TCP `5432`, для всего коммутатора	Deny

«Allow» для любого адреса не пускает никого без пароля: оно лишь делает доступной страницу входа или SIP-порт.

Откройте System Management → IP Firewall.
Выберите вкладку типа, например Web.
Нажмите Add Rule (добавить правило) и введите IP Address (IP-адрес), Netmask (маска сети) и Description (описание). Установите Rule (правило) в Allow (разрешить). Для одного адреса используйте маску 255.255.255.255.
Повторите для каждого доверенного адреса или сети. Упорядочьте свои правила кнопками Up и Down.
Нажмите Edit в правиле по умолчанию, установите Rule в Deny (запретить) и сохраните его.
Нажмите Save.

Screenshot "operations/ip-firewall" has not been generated yet — see scripts/screenshots/screens.yml.

Результат: к этому сервису имеют доступ только перечисленные адреса. Правило по умолчанию нельзя удалить или переместить; можно изменить только его Rule.

Шаг 2: Откройте порты на внешнем фаерволе

Внешний фаервол должен пропускать то, что нужно коммутатору. Разрешите следующие входящие соединения из публичных сетей:

Порт	Протокол	Назначение
`5060`	UDP, а также TCP, если вы используете SIP поверх TCP	Сигнализация SIP
`5061`	TCP	SIP поверх TLS, если вы его используете
`10000`–`65000`	UDP	Медиа RTP, ретранслируемое коммутатором
`4569`	UDP	IAX2, если вы его используете

Разрешите коммутатору устанавливать исходящие соединения с таких портов источника:

Порт	Протокол	Назначение
`5061`, `5065` и выше	UDP	Исходящий SIP от процессов обработки звонков; один порт на процесс, `5062`-`5064` пропускаются

Открывайте эти порты только для своих сетей, если вообще открываете:

Порт	Протокол	Назначение
`80`, `443`	TCP	Веб-интерфейс и XML-RPC API; порт `80` перенаправляет на `443` и нужен для выпуска сертификатов
`22`	TCP	Консоль SSH
`69`	UDP	Автонастройка IP-телефонов через TFTP
`161`	UDP	Мониторинг через SNMP. См. Мониторинг коммутатора через SNMP
`5432`	TCP	Прямой доступ к базе данных

Шаг 3: Проверьте настройку

Откройте панель с адреса, который вы не разрешили. Соединение должно завершиться по тайм-ауту.
Войдите в панель с разрешённого адреса.
Сделайте тестовый звонок с устройства клиента и проверьте, что он соединяется с двусторонним звуком.