Налаштування фаєрвола

Цей переклад зроблено автоматично і ще не вичитано. Читати англійську версію

Комутатор має вбудований фаєрвол, що обмежує, хто може дістатися до SIP, вебінтерфейсу, TFTP, SSH і бази даних. Ви також можете поставити перед комутатором зовнішній фаєрвол для захисту від DDoS і сканування портів. На цій сторінці налаштовуються обидва. Закладіть 20 хвилин.

Перш ніж почати

У вас є доступ Administrator (адміністратор) до кореневого середовища панелі.
У вас є список IP-адрес, яким дозволено доступ до вебінтерфейсу, і адреси SIP-обладнання ваших клієнтів і вендорів.
Ви знаєте публічні IP-адреси комутатора.

Крок 1: Обмежте доступ за допомогою IP Firewall

IP Firewall (IP-фаєрвол) містить правила дозволу й заборони для кожного типу доступу. Кожен тип закінчується правилом за замовчуванням для 0.0.0.0 з маскою мережі 0.0.0.0, що означає будь-яку адресу. Правила над ним перевіряються першими, згори вниз.

Тип	Порт	Правило за замовчуванням
Web	TCP `80`, `443`: вебінтерфейс і XML-RPC API	Allow
SIP/UDP	UDP `5060`	Allow
SIP/TCP	TCP `5060`	Deny
SIP/TLS	TCP `5061`	Deny
TFTP	UDP `69`: автоналаштування IP-телефонів	Deny
SSH	TCP `22`, для всього комутатора	Deny
DB	TCP `5432`, для всього комутатора	Deny

«Allow» для будь-якої адреси не впускає нікого без пароля: воно лише робить доступною сторінку входу або SIP-порт.

Відкрийте System Management → IP Firewall.
Виберіть вкладку типу, наприклад Web.
Натисніть Add Rule (додати правило) і введіть IP Address (IP-адреса), Netmask (маска мережі) та Description (опис). Установіть Rule (правило) на Allow (дозволити). Для однієї адреси використовуйте маску 255.255.255.255.
Повторіть для кожної довіреної адреси або мережі. Упорядкуйте свої правила кнопками Up і Down.
Натисніть Edit у правилі за замовчуванням, установіть Rule на Deny (заборонити) і збережіть його.
Натисніть Save.

Screenshot "operations/ip-firewall" has not been generated yet — see scripts/screenshots/screens.yml.

Результат: до цього сервісу мають доступ лише перелічені адреси. Правило за замовчуванням не можна видалити чи перемістити; можна змінити лише його Rule.

Крок 2: Відкрийте порти на зовнішньому фаєрволі

Зовнішній фаєрвол має пропускати те, що потрібно комутатору. Дозвольте такі вхідні з’єднання з публічних мереж:

Порт	Протокол	Призначення
`5060`	UDP, а також TCP, якщо ви використовуєте SIP через TCP	Сигналізація SIP
`5061`	TCP	SIP через TLS, якщо ви його використовуєте
`10000`–`65000`	UDP	Медіа RTP, що ретранслюється комутатором
`4569`	UDP	IAX2, якщо ви його використовуєте

Дозвольте комутатору встановлювати вихідні з’єднання з таких портів джерела:

Порт	Протокол	Призначення
`5061`, `5065` і вище	UDP	Вихідний SIP від процесів обробки дзвінків; один порт на процес, `5062`-`5064` пропускаються

Відкривайте ці порти лише для своїх мереж, якщо взагалі відкриваєте:

Порт	Протокол	Призначення
`80`, `443`	TCP	Вебінтерфейс і XML-RPC API; порт `80` перенаправляє на `443` і потрібен для випуску сертифікатів
`22`	TCP	Консоль SSH
`69`	UDP	Автоналаштування IP-телефонів через TFTP
`161`	UDP	Моніторинг через SNMP. Див. Моніторинг комутатора через SNMP
`5432`	TCP	Прямий доступ до бази даних

Крок 3: Перевірте налаштування

Відкрийте панель з адреси, якої ви не дозволили. З’єднання має завершитися за тайм-аутом.
Увійдіть у панель з дозволеної адреси.
Зробіть тестовий дзвінок з пристрою клієнта й перевірте, що він з’єднується з двостороннім звуком.