Безопасность и сетевой доступ

Список разрешённых IP-адресов для администрирования

В разделе Администрирование > Список разрешённых IP вы ограничиваете, кто может обращаться к администрированию PBX, списком сетей. Проверка выполняется до входа: запрос с любого другого адреса получает 403 MPBX-NET-ADMIN-IP-DENIED, а ответ не раскрывает ничего о пользователях и токенах.

• Записи — это адреса IPv4 или IPv6 либо блоки CIDR, до 64 штук.
• Область system охватывает общесистемное администрирование. Область api охватывает все маршруты /api/v1, включая вход приложений; используйте её, только если все пользователи приходят из известных сетей или через VPN.
• По умолчанию список выключен. Изменения записываются в журнал аудита.
• Список, который исключает ваш собственный адрес, отклоняется (MPBX-NET-ALLOWLIST-LOCKOUT); консоль предлагает «Добавить мой адрес».
• Локальный адрес (loopback) всегда разрешён, поэтому тот, у кого есть доступ к командной оболочке на хосте PBX, всегда может исправить список.

За обратным прокси

Список разрешённых IP-адресов проверяет адрес, который видит PBX. За обратным прокси без дополнительной настройки каждый клиент выглядит как сам прокси, и правило для локального адреса тогда пропускает всех, если прокси работает на том же хосте. Если вы используете список разрешённых адресов за прокси, задайте в mpbx.toml:

[http]
trusted_proxies = ["10.0.0.0/8"]   # the networks of your own proxies

Заголовок X-Forwarded-For читается только тогда, когда соединение идёт из одной из этих сетей. Старый переключатель trust_forwarded_for = true тоже работает, но доверяет заголовку от любого отправителя, поэтому используйте его, только если порт API доступен исключительно через прокси. Схему развёртывания см. в разделе Установка с Docker Compose.

Другие защиты

• Геоблокировка и граница SIP (список разрешённых адресов, список запрещённых адресов и блокировки) защищают API и телефонные порты.
• Двухфакторный вход и единый вход защищают учётные записи.
• Журнал аудита: см. Активность и история.