Best Practice - Impostazioni di sicurezza

[ophidio]

Siccome ho notato nei log tentativi di accesso da ip non provenienti dall'italia (e non abbiamo client all'estero) quali sono le best practice se esistono da indicare nella sezione sicurezza del centralino?

 

[bygrp.com]

io ho visto che una soluzione ottimale è quella di non usare le porte standard
tipo la 5060 la 5001 22 ecc.
Poi lavorare sul firewall mettendo delle regole del traffico in ingresso che accetti solo gli ip italiani.
Ciao Maisx

 

[MarcelloL_3CX]

altro punto:
attiva la blacklist globale 3CX (Impostazioni > Sicurezza > Anti-hacking > Automatic global 3CX IP blacklist)
gi IP "maliziosi" saranno messi in blacklist preventivamente dal centralino, sulla base dei report che vengono forniti dalle centinaia di migliaia di centralini 3CX in giro per il mondo.

 

[ophidio]

altro punto:
attiva la blacklist globale 3CX (Impostazioni > Sicurezza > Anti-hacking > Automatic global 3CX IP blacklist)
gi IP "maliziosi" saranno messi in blacklist preventivamente dal centralino, sulla base dei report che vengono forniti dalle centinaia di migliaia di centralini 3CX in giro per il mondo.

Si quello già l'avevo fatto.

Grazie

 

[MarcelloL_3CX]

bene.
Altro punto:
se hai il centralino in casa ed un firewall configurabile, puoi creare regole ACL sulle porte SIP in modo da accettare connessioni in entrata ai soli IP certi ed affidabili (voip providers, interni o sedi remote, ecc.)

 

[ophidio]

io ho visto che una soluzione ottimale è quella di non usare le porte standard
tipo la 5060 la 5001 22 ecc.
Poi lavorare sul firewall mettendo delle regole del traffico in ingresso che accetti solo gli ip italiani.
Ciao Maisx

Purtroppo ho già istallato tutto sulle porte standard. Ho comunque scaricato gli ip block (ipdeny.com) italiani ed ho impostato sul firewall l'accettazione delle connessioni sulla porta sip solo da questi indirizzi.

Grazie

 

[ophidio]

bene.
Altro punto:
se hai il centralino in casa ed un firewall configurabile, puoi creare regole ACL sulle porte SIP in modo da accettare connessioni in entrata ai soli IP certi ed affidabili (voip providers, interni o sedi remote, ecc.)

Si Marcello ho fatto questo (anche se non ho il centralino in casa ma era per il mio studio professionale).
Ho solo il problema con il centralino perchè non abbiamo altre porte aperte visto che lavoriamo da remoto con le vpn, ma ahimè i telefoni non vanno con le vpn (se non con quelle site-site che però non sono gestibili per noi).

 

[MarcelloL_3CX]

scusa, ma non ho capito esattamente la tua risposta...

 

[ophidio]

Forse sono stato troppo criptico, scusami.
Non è un centralino domestico, ma lo utilizzo a lavoro.

Sul firewall non ho porte aperte ad eccezione di quelle richieste da 3cx perchè accediamo nella nostra rete tramite vpn.

Per tale motivo ho, come suggerito da maisx, impostato sulla porta 5060 del firewall un aregola per accettare connessioni solamente da ip italiani.

ero rammaricato per il fatto che i telefoni voip (almeno la maggioranza) non lavorano collegandosi ad una vpn come client ma è possibile farli lavorare solo se nella sede remota si configuri una vpn site-site oppure si utilizzi l'sbc.

spero di essere stato più chiaro

Grazie

 

[MarcelloL_3CX]

in realtà non è così: puoi approvvigionare i telefoni IP supportati da sedi esterne in modalità "Interni remoti STUN"
In questo modo si registreranno direttamente via Internet e useranno le stesse porte SIP e RTP dei trunk VoIP

 

[bygrp.com]

Se usi i Telefoni Fanvil già dal modello X4 hanno integrato il client Open Vpn che funziona molto bene