Saltar al contenido principal

Seguridad y acceso de red

Lista de IP permitidas de administración​

En Administración, Lista de IP permitidas limita quién puede llegar a la administración del PBX a una lista de redes. La verificación se ejecuta antes del inicio de sesión: una solicitud desde cualquier otra dirección recibe 403 MPBX-NET-ADMIN-IP-DENIED, y la respuesta no revela nada sobre usuarios ni tokens.

  • Las entradas son direcciones IPv4 o IPv6, o bloques CIDR, hasta 64.
  • El ámbito system cubre la administración de toda la instalación. El ámbito api cubre cada ruta /api/v1, incluido el inicio de sesión de las aplicaciones; úselo solo cuando todos los usuarios vengan de redes conocidas o de una VPN.
  • Está desactivada por omisión. Los cambios se auditan.
  • Una lista que excluya su propia dirección se rechaza (MPBX-NET-ALLOWLIST-LOCKOUT); la consola ofrece "Agregar mi dirección".
  • El loopback siempre está permitido, así que alguien con una shell en el host del PBX siempre puede corregir la lista.

Detrás de un proxy inverso​

La lista permitida evalúa la dirección que ve el PBX. Detrás de un proxy inverso sin configuración adicional, cada cliente parece el propio proxy, y entonces la regla de loopback deja entrar a todos cuando el proxy se ejecuta en el mismo host. Siempre que use la lista permitida detrás de un proxy, configure en mpbx.toml:

[http]
trusted_proxies = ["10.0.0.0/8"]   # the networks of your own proxies

El encabezado X-Forwarded-For solo se lee cuando la conexión viene de una de esas redes. El interruptor anterior trust_forwarded_for = true también funciona, pero confía en el encabezado de cualquier par, así que úselo solo cuando el puerto de la API no se pueda alcanzar salvo a través del proxy. Vea Instalar con Docker Compose para la estructura de despliegue.

Otras protecciones​

  • El bloqueo geográfico y el borde SIP (lista permitida, lista denegada y bloqueos) protegen la API y los puertos de teléfono.
  • El inicio de sesión en dos pasos y el inicio de sesión único protegen las cuentas.
  • Registro de auditoría: vea Actividad e historial.