Bloqueo geográfico y protección del borde SIP

Dos capas mantienen alejados a los escáneres y a quienes adivinan contraseñas de sus puertos telefónicos y de su consola. Ambas complementan la lista de IP permitidas del administrador.

Protección del borde SIP

El borde SIP protege cada puerto telefónico (UDP, TCP, TLS y WebSocket) antes de analizar una solicitud. Funciona automáticamente.

• Listas de permitidos y bloqueados. Una dirección en la lista de permitidos siempre pasa. Una dirección bloqueada se descarta.
• Bloqueos automáticos. Una dirección que falla la autenticación digest demasiadas veces (10 veces en 10 minutos por defecto), envía un User-Agent de un escáner conocido, o inunda el puerto, queda bloqueada. Las conexiones abiertas desde ella se cierran. Por UDP, solo cuentan los fallos que responden a un desafío que el PBX envió a esa dirección, así un suplantador no puede hacer bloquear a otra persona.
• Límites de frecuencia. Las conexiones y los mensajes nuevos están limitados por dirección.
• Limitación por cuenta. Adivinar la contraseña de una cuenta desde muchas direcciones se frena: después de 5 fallos, las fuentes que nunca iniciaron sesión con esa cuenta esperan, duplicando hasta 60 segundos. Después de 20 fallos en 15 minutos, la cuenta queda limitada a desafío solamente para esas fuentes. Los teléfonos en sus direcciones habituales siguen funcionando. Un administrador puede levantar un bloqueo del dispositivo.
• Límites de llamadas. Límites de llamadas simultáneas por extensión y por troncal.
• Sondeo de PIN del buzón de voz. Una dirección que prueba PIN incorrectos en tres buzones distintos queda bloqueada. Los teléfonos registrados y las direcciones en la lista de permitidos están exentos.

Los administradores ven y gestionan los bloqueos, las listas y los dispositivos y buzones bloqueados en Administración, Seguridad. Las alertas SipBanSpike, SipAccountLocked y SipCompanyUnderAttack reportan los ataques; vea Alertas.

Bloqueo geográfico

El bloqueo geográfico rechaza el tráfico según el país de la dirección de origen, en el borde SIP y en la API y la consola, antes del inicio de sesión. Abra Administración, Bloqueo geográfico.

Configuración	Significado
Modo	Desactivado, Denegar (rechaza los países de la lista) o Permitir (atiende solo los países de la lista).
Países	Códigos ISO de dos letras.
Bloquear direcciones desconocidas	Rechaza las direcciones que la tabla de países no conoce.
Alcance	API protege cada ruta /api/v1, incluidos el inicio de sesión y los archivos de aprovisionamiento de los teléfonos de escritorio. Sistema protege solo la administración de toda la instalación.
Aplicar también al borde SIP	La regla guardada protege también los puertos telefónicos. Reemplaza la regla SIP configurada en cada borde SIP en 30 segundos, sin reiniciar.

Las direcciones loopback, privadas y de enlace local nunca se bloquean. Las direcciones en la lista de permitidos siempre pasan.

La tabla de países no está incluida. Descargue un CSV de IP a país, por ejemplo el archivo "IP to Country Lite" de DB-IP, acepte su licencia y apunte [geo] database en mpbx.toml hacia él. Reinicie el PBX una vez para cargarla. Sin una tabla no se puede bloquear nada, y guardar una regla se rechaza (MPBX-NET-GEO-NO-DATABASE).

Por empresa. Una empresa puede agregar su propia regla SIP sobre la de toda la instalación. Solo puede rechazar más, nunca menos.

Usuarios que viajan. Exente una extensión de la regla hasta una fecha, y quite la excepción cuando regresen. La extensión debe seguir autenticándose con las credenciales de su dispositivo.

Bloquearse a uno mismo

• Una regla que bloquearía su propia dirección se rechaza (MPBX-NET-GEO-LOCKOUT). La página muestra la dirección y el país que ve el PBX.
• Alguien en el host del PBX siempre puede llegar a él, porque nunca se bloquea loopback. Iniciar el proceso con MPBX_GEO_BYPASS=1 ignora la regla guardada hasta que la elimine.

Límites

Las VPN, los operadores móviles en roaming y los rangos anycast quedan mal ubicados en cualquier tabla de países. El bloqueo geográfico reduce el ruido. No es autenticación. Los rechazos devuelven MPBX-NET-GEO-BLOCKED; vea los códigos de error de red.