Sicurezza 3CX Remote Extension

[anonymous]

Ciao a tutti e grazie fin d'ora per il supporto.
Sono nuovo su 3CX.
Ho già installato il prodotto in versione demo e sto sperimentando alcune configurazioni.
Sono soprattutto interessato alla parte di Remote Extension.
La domanda alla quale sto cercando di rispondere è relativa alla sicurezza:
- Le modalità di connettere una exytension remota sono 2: Con il SIP Proxy Manager (ma richiede un pc windows acceso con relativo software sulla sede remota) o con lo STUN server
- Se utilizzo il SIP Proxy Manager devo aprire sostanzialmente "solo" la porta UDP 5090 e nattarla da IP pubblico al sistema 3CX
- Se utilizzo lo STUN devo invece nattare la UDP 5060 e dalla UDP 9000 alla UDP 9049
Interessato alla parte STUN, poichè non necessita di nessun dispositivo oltre che del telefono (adeguato), mi preoccupa aprire al mondo la porta UDP 5060.
Aprendo la 5060 non espongo il servizio SIP con tutte le sue vulnerabilità?
Se si, c'è modo i ovviare e rendere il serivizio "sicuro"?
Grazie ancora,
Mauro.

 

[eurylink.com]

Se vuoi evitare di esporre a chiunque la porta 5060 devi utilizzare sul lato PBX un firewall che includa della Acccess List e degli opportuni filtri. Questo implica ovviamente il fatto che sul lato client remoto l'ADSL disponga di IP statico pubblico.
Puoi utilizzare dei comuni router Draytek (es. Vigor 2830) che, mantenendo la compatibilità piena con 3CX, ti permettano anche di impostare delle regole firewall di tipo ACL.
Altra alternativa ancora migliore è di creare delle VPN verso la sede che include gli interni remoti e fare transitare tutto il traffico sul tunnel VPN. In questo caso devi posizionare un router per ogni sede. Hai comunque ulteriori vantaggi derivanti dal fatto che:
1) Ti occorre ip publico solo sul lato 3CX server.
2) Eviti i problemi di NAT e audio monodirezionale passando direttamente dalla VPN.
Anche in questo caso puoi usare i Draytek 2830 che ti permettono di gestire la VPN, senza sorprese, tra la sede e gli uffici remoti.