Перейти к основному содержимому

Геоблокировка и защита границы SIP

Два уровня защиты не допускают сканеров и подборщиков паролей к портам телефонии и к вашей консоли. Оба дополняют список разрешённых IP-адресов администратора.

Защита границы SIP​

Граница SIP защищает каждый порт телефонии (UDP, TCP, TLS и WebSocket) до разбора запроса. Она работает автоматически.

  • Списки разрешённых и запрещённых адресов. Адрес из списка разрешённых всегда проходит. Запрещённый адрес отбрасывается.
  • Автоматические блокировки. Адрес, который слишком часто не проходит дайджест-аутентификацию (по умолчанию 10 раз за 10 минут), отправляет известный User-Agent сканера или создаёт поток запросов к порту, блокируется. Открытые соединения с него закрываются. По UDP учитываются только ошибки, отвечающие на запрос аутентификации, который АТС отправила этому адресу, поэтому подделщик не может заблокировать чужой адрес.
  • Ограничение частоты. Число новых соединений и сообщений ограничено для каждого адреса.
  • Ограничение по учётной записи. Подбор пароля одной учётной записи с многих адресов замедляется: после 5 ошибок источники, которые никогда не входили под этой учётной записью, ждут, время ожидания удваивается до 60 секунд. После 20 ошибок за 15 минут учётная запись для таких источников переводится в режим только проверки. Телефоны на своих обычных адресах продолжают работать. Администратор может снять блокировку устройства.
  • Ограничения вызовов. Лимиты одновременных вызовов для каждого внутреннего номера и каждого транка.
  • Проверка PIN голосовой почты. Адрес, который пробует неверные PIN-коды в трёх разных почтовых ящиках, блокируется. Зарегистрированные телефоны и адреса из списка разрешённых не затрагиваются.

Администраторы видят и управляют блокировками, списками, заблокированными устройствами и почтовыми ящиками в разделе Администрирование, Безопасность. Оповещения SipBanSpike, SipAccountLocked и SipCompanyUnderAttack сообщают об атаках; см. Оповещения.

Геоблокировка​

Геоблокировка отклоняет трафик по стране исходного адреса на границе SIP, а также в API и консоли, до входа в систему. Откройте Администрирование, Геоблокировка.

НастройкаЗначение
РежимВыключено, Отклонять страны из списка или Разрешить только страны из списка.
СтраныДвухбуквенные коды ISO.
Отклонять и адреса, которых нет в таблицеОтклонять адреса, которых таблица стран не знает.
Защищаемые маршруты APIAPI — все маршруты /api/v1, включая вход и файлы автоматической настройки настольных телефонов. Система — только администрирование всей установки.
Применять и на SIP-границеСохранённое правило защищает также порты телефонии. Оно заменяет настроенное правило SIP на каждой границе SIP в течение 30 секунд, без перезапуска.

Адреса loopback, частные и link-local никогда не блокируются. Адреса из списка разрешённых всегда проходят.

Таблица стран не входит в комплект. Скачайте CSV-файл соответствия IP-адресов странам, например файл DB-IP «IP to Country Lite», примите его лицензию и укажите путь к нему в [geo] database файла mpbx.toml. Перезапустите АТС один раз, чтобы она загрузилась. Без таблицы ничего нельзя заблокировать, и сохранение правила отклоняется (MPBX-NET-GEO-NO-DATABASE).

По компаниям. Компания может добавить собственное правило SIP поверх общего для установки. Оно может отклонять больше, но не меньше.

Сотрудники в командировках. Освободите один внутренний номер от правила до определённой даты и снимите исключение, когда сотрудник вернётся. Внутренний номер всё равно должен проходить аутентификацию по учётным данным своего устройства.

Блокировка собственного доступа​

  • Правило, которое заблокировало бы ваш собственный адрес, отклоняется (MPBX-NET-GEO-LOCKOUT). Страница показывает адрес и страну, которые видит АТС.
  • Кто-то на сервере АТС всегда может к ней подключиться, потому что loopback никогда не блокируется. Запуск процесса с MPBX_GEO_BYPASS=1 игнорирует сохранённое правило, пока вы её не уберёте.

Ограничения​

VPN, мобильные операторы в роуминге и диапазоны anycast в любой таблице стран определяются неверно. Геоблокировка снижает шум, но не является аутентификацией. Отказы возвращают MPBX-NET-GEO-BLOCKED; см. коды ошибок списка разрешённых IP-адресов.