Modifications entre les versions 1 et 18 (s'étendant sur 17 versions)
⇤ ← Version 1 à la date du 2016-09-30 08:39:50 →
Taille: 201
Éditeur: MassambaGaye
Commentaire:
← Version 18 à la date du 2016-11-24 14:40:15 → ⇥
Taille: 2578
Éditeur: MassambaGaye
Commentaire:
Texte supprimé. Texte ajouté.
Ligne 3: Ligne 3:
= Amélioration sécurité : Veiller à ce que notre infrastructure de te téléphonie ne soit utilisé que par nos usagers = = Amélioration sécurité : Rendre la ToIP accessible uniquement à nos usagers =
Ligne 7: Ligne 7:
 * TruongTungLam :
 * RTR, RTL : Adaptation des systèmes locaux

== Objectifs ==
 * fermer les accès SIP externes par défaut
 * filter les accès IAX en fonction des adresses IP de nos serveurs
 * Limiter les appels vers le RTP à nos téléphones locaux

== Rappels des ports VoIP utilisé ==
 * 5060 UDP : SIP registration, utilisé pour l'enregistrement destelephones
 * 4569 UDP : IAX2 registration, utilisé entre serveurs asterisk
 * 61001 - 62000 UDP : Trafic voix RTP

== Action corrective N°1 ==
 * Mettre en place des règles de filtrage au niveau du firewall avec les objectifs suivants :
  * Autoriser le trafic interserveur IAX uniquement entre les serveurs VoIP de l'Agence se trouvant
  * Réfuser tout traffic SIP et RTP ne provenant pas de notre réseau local

== Fichiers et scripts à utiiser ==
 * script python de generation des regles : [[attachment:voip-gen-iptables]]
 * Fichiers contenant la liste des serveurs : [[attachment:liste-des-serveurs]]

 /!\ NB : Certains resolutions d'adresses echouent pour quelques domaines . Il faudra donc revoir la config dns de ces serveurs; Soit ces serveurs n'existent plus , ou il y a un soucis avec la config
 * voip.ifi.auf.org
 * voip.hcmv.vn.auf.org
 * voip.la.auf.org
 * ifemaurice.no-ip.org
 * voip.cf.auf.org
 * voip.soa.cm.auf.org
 * voip.cg.auf.org
 * voip.cd.auf.org

== Utilisation des fichiers ==
 1. Sauvegarder le fichier liste_serveurs dans le dossier /etc/voip préalablement crée sur votre serveur
 2. Modifier les variables definies dans le script python
 3. Executer le script python et rediriger la sortie standard (stdout) vers un fichier regles, que vous allez rendre executable
 4. Une fois le fichier de regles generés, vous n'aura plus qu'a l'executer sur votre serveur de filtrage


 
 


== Action corrective N°2 ==
 * Configuration des restrictions au niveau du fichier de configuration des comptes SIP. Dans la section general du fichier '''/etc/asterisk/auf/sip-general.local''' on pourra ajouter le réseau que nous autorisons ;

{{{
[general]
.................
.................
.................
;on interdit d'abord l'accès SIP à tous
deny=0.0.0.0/0.0.0.0
;on autorise enfin notre réseau local uniquement
permit=10.196.1.0/255.255.255.0
.................
.................

}}}
 * NB : Il est possible d'avoir plusieurs lignes permit

Sommaire

  1. Amélioration sécurité : Rendre la ToIP accessible uniquement à nos usagers
    1. Ressources
    2. Objectifs
    3. Rappels des ports VoIP utilisé
    4. Action corrective N°1
    5. Fichiers et scripts à utiiser
    6. Utilisation des fichiers
    7. Action corrective N°2

Amélioration sécurité : Rendre la ToIP accessible uniquement à nos usagers

Ressources

Objectifs

  • fermer les accès SIP externes par défaut
  • filter les accès IAX en fonction des adresses IP de nos serveurs
  • Limiter les appels vers le RTP à nos téléphones locaux

Rappels des ports VoIP utilisé

  • 5060 UDP : SIP registration, utilisé pour l'enregistrement destelephones
  • 4569 UDP : IAX2 registration, utilisé entre serveurs asterisk
  • 61001 - 62000 UDP : Trafic voix RTP

Action corrective N°1

  • Mettre en place des règles de filtrage au niveau du firewall avec les objectifs suivants :
    • Autoriser le trafic interserveur IAX uniquement entre les serveurs VoIP de l'Agence se trouvant
    • Réfuser tout traffic SIP et RTP ne provenant pas de notre réseau local

Fichiers et scripts à utiiser

  • script python de generation des regles : voip-gen-iptables

  • Fichiers contenant la liste des serveurs : liste-des-serveurs

    /!\ NB : Certains resolutions d'adresses echouent pour quelques domaines . Il faudra donc revoir la config dns de ces serveurs; Soit ces serveurs n'existent plus , ou il y a un soucis avec la config

  • voip.ifi.auf.org
  • voip.hcmv.vn.auf.org
  • voip.la.auf.org
  • ifemaurice.no-ip.org
  • voip.cf.auf.org
  • voip.soa.cm.auf.org
  • voip.cg.auf.org
  • voip.cd.auf.org

Utilisation des fichiers

  1. Sauvegarder le fichier liste_serveurs dans le dossier /etc/voip préalablement crée sur votre serveur
  2. Modifier les variables definies dans le script python
  3. Executer le script python et rediriger la sortie standard (stdout) vers un fichier regles, que vous allez rendre executable
  4. Une fois le fichier de regles generés, vous n'aura plus qu'a l'executer sur votre serveur de filtrage

Action corrective N°2

  • Configuration des restrictions au niveau du fichier de configuration des comptes SIP. Dans la section general du fichier /etc/asterisk/auf/sip-general.local on pourra ajouter le réseau que nous autorisons ; 

[general]
.................
.................
.................
;on interdit d'abord l'accès SIP à tous 
deny=0.0.0.0/0.0.0.0            
;on autorise enfin notre réseau local uniquement
permit=10.196.1.0/255.255.255.0
.................
.................
  • NB : Il est possible d'avoir plusieurs lignes permit

AméliorationSécuritéSeptembre2016/VoIP (dernière édition le 2016-11-24 15:55:37 par MassambaGaye)