[asterisk]beveiliging

[Paultje3181]

Ik heb een asterisk server draaien waarbij ik graag mijn mobiele telefoon wil kunnen gebruiken om te bellen.

Hiervoor zijn volgens mij een aantal mogelijkheden om dit goed in te richten:
- openvpn waarbij je verbinding constant actief hoort te zijn
- firewall om specifieke IP-adressen toe te laten
- fail2ban om foute inlogpogingen te blokkeren.

Fail2ban en openvpn heb ik geconfigureerd, maar de poorten in de firewall duizelen me een beetje:
- server naar provider = udp 5060 uit, maar is 10000-20000 ook nodig? Moet er ook inkomend iets opengezet worden?
- mobiele telefoon naar asterisk server: inkomend openzetten volgens mij van sip poort en rtp poorten. Maar uitgaand?

Ik gebruik csf als firewall. Dat is alleen csf.allow wat je dan gebruikt toch?

[BarthezZ]

De vraag is ten eerste; begrijp je voldoende van je applicatie (SIP en RTP) protocollen om te kunnen doorgronden hoe je je firewall moet configureren? Ik beng bang van niet namelijk...

SIP signaleeert over UDP 5060 om een spraak sessie op te kunnen bouwen; De verzender initieert dus bij een gesprek vanaf Asterisk een sessie naar poort 5060 van je telefoon om door te kunnen geven dat hij spraakt wilt opbouwen in feite (met wat callerid metadata in de headers). Dat wil zeggen, als je mobieltje een gesprek opzet stuurt hij een invite naar asterisk, en is er netwerk technisch enkel een open spraakpad noodzakelijk.

Hoe RTP zich gedraagt is verder makkelijk te vinden op google en hoe daar firewall technisch mee omgeggaan moet worden. Als je enkel 1 device heb kan je ook af met (theoretisch 2, maar ik raad aan) 10 poortjes. Een hoop minder fierwall geneuzel.

[Frogmen]

Volgens mij wil je nu met je smartphone over 4g een VPN opzetten om te kunnen bellen, los van of het werkt denk je dat het goedkoper is?

[Paultje3181]

Het stuk welke poorten hoe en wat is me duidelijk, het probleem is dat het me niet goed duidelijk is of ik in en uit open moet zetten voor een call. In the definitive guide staat een duidelijk plaatje, waarop het lijkt of het nodig is om 5060 en 10000-20000 open te zetten (of kleiner zoals BarthezZ aangeeft), maar dat kan ik niet duidelijk terugvinden. Daarnaast is csf nu ook niet supergoed gedocumenteerd over het hoe en wat...

[serkoon]

Ik bel ook met m'n telefoon via m'n Asterisk-server, maar gebruik daarbij geen SIP maar IAX. Dat is een Asterisk-specifiek protocol dat gewoon 1 poort gebruikt. Stuk netter dan dat ranzige SIP

Als client gebruik ik het onovertroffen Zoiper (gratis, werkt iig op Android, iOS, Linux.. )

[Paultje3181]

En heb je dan via SIP een trunk bij een provider voor je nummer die je vervolgens van sip naar iax laat gaan?

Heb je misschien een voorbeeldje van je extensions.conf?

[serkoon]

Mijn Asterisk luistert inderdaad op IAX en praat SIP naar een provider. Wat ik ook bel via IAX, er wordt door Asterisk opgenomen en de call wordt doorgestuurd naar de voip-aanbieder via SIP.

code:

; Redirect any called number to freevoip
exten => _XXXXX.,1,Answer(500)
exten => _XXXXX.,n,Set(AGC(tx)=20000)
exten => _XXXXX.,n,Set(AGC(rx)=20000)
exten => _XXXXX.,n,Set(DENOISE(tx)=on)
exten => _XXXXX.,n,Set(DENOISE(rx)=on)
exten => _XXXXX.,n,Dial(SIP/${EXTEN}@freevoip,120,o)
exten => _XXXXX.,n,Hangup()

In iax.conf:

code:

[user]
type=friend
context=default
callerid="user"
secret=XXXXXXXX
auth=md5
requirecalltoken=no
host=dynamic
qualify=yes
encryption=aes128

En in sip.conf:

code:

[freevoip]
type=peer                     
host=sip.freevoipdeal.com
port=5060
disallow=all
allow=alaw
allow=ulaw
allow=g726
allow=g729
allow=g723
auth=XXXXXXXXXXXXX
fromuser=XXXXXXXXXXX
qualify=yes
nat=yes
outboundproxy=sip.freevoipdeal.com
sendrpid=yes

(overigens ondersteunt Zoiper wel encryptie voor RTP, maar niet op IAX)