Angriffe auf 3cx / Firewall-Einstellungen / 3cx-App

[Roland-bg]

Hallo zusammen,

seit einiger Zeit nehmen die Angriffe auf unsere 3cx zu. Das sind in der Regel "nur" falsche Anmeldeversuche auf Port 5060, bei dem sich vermeintliche IP-Telefone versuchen dort anzumelden. Das resultiert in zig Mails pro Tag, die wir von der 3cx dazu erhalten.

Die 3cx-Firewall-Regeln haben wir schon angepasst – also die Anmeldeversuche vor der Sperrung reduziert und die Dauer der Sperrung der IP-Adresse erhöht. Das führt aber natürlich zu noch mehr E-Mails.

Unser nächster Ansatz war, ein Geo-Blocking in der Firewall (im Draytek-Router) zu aktivieren, also nur Anfragen aus Deutschland zuzulassen. Schließlich kommen Daten an Port 5060 bei uns ja nur der Telekom. Das hat erstmal perfekt funktioniert – keine Angriffe mehr, nicht eine Aussperrung.

ABER: Aus dem Vodafone-Kabel-Netz z.B. (per WLAN oder LAN) kann man von extern nicht mehr auf die 3cx zugreifen. Also die 3cx-App meldet sich von Vodafone aus nicht bei der 3cx an oder auch externe IP-Telefone melden sich nicht mehr an. Leider scheinen die GeoIP-Daten im Draytek-Router nicht immer auf dem neuesten Stand zu sein, oder der Router kommt nicht mit IPv6 zurecht (wobei Vodafone nach außen ja auch eine IPv4 angibt).

Das Problem ist, dass die Anmeldung der App oder externe Nebenstellen auch über den Port 5060 erfolgen. Wenn diese über einen anderen Port erfolgen würden, könnte ich mich in der Firewall ja beim Geo-Blocking nur auf den Port 5060 beschränken. Nur dort kommen ja die Angriffe vor (bisher).

Nun die Fragen:

• Kann man den Port für Remote-Anmeldungen (App und externe Nebenstellen) ändern, dass er nicht der gleiche ist wie der Standard-Port für die Trunks?
• Habt ihr einen anderen guten Ansatz, wie ihr das Problem der vielen unberechtigten Anmelde-Versuche löst?
• Muss ich mir vielleicht gar keine Sorgen machen und ich kann die E-Mail-Meldungen über die IP-Sperrungen einfach deaktivieren?

Vielen lieben Dank vorab!

Roland

 

[jkasten]

Hast Du Dir das schon mal angeguckt?

https://www.3cx.de/docs/sbc-installation/

Ich habe den 5060 nach innen nur für Anfragen aus dem Telekom SIP Netz freigegeben und keinerlei Probleme.

 

[sir116]

Einfach den 5060er Port bei der Installation der 3CX ändern.

 

[Roland-bg]

Danke für die Antworten soweit!

@jkasten:
Ich schau mir das mal an. Hieße das, dass der gesamte Verkehr über Port 5090 ginge von externen Geräten? Bisher haben wir alle über die Provisionierung der 3cx direkt und ohne SBC angemeldet. Dabei ist standardmäßig der Port 5060 eingetragen...

Ich habe den 5060 nach innen nur für Anfragen aus dem Telekom SIP Netz freigegeben und keinerlei Probleme.

Welche Regeln hast Du dazu erstellt? Die IPs der Telekom sind ja nicht fix...

@sir116:
Das würde bei der Telekom nicht klappen. Dort arbeitet man ja standardmäßig mit dem
Port 5060

Viele Grüße,
Roland

 

[jkasten]

Ich habe den ganzen Netzbereich der Telekom Freigegeben. So das es auch weiter funktioniert wenn sich die IP ändert. So lange die Telekom den Bereich nicht ändert, sollte das so funktionieren. Ich nutze jetzt nur die 3CX App auf dem iPhone von extern und ja, dann geht alles über den Port 5090.

 

[Roland-bg]

Ok. Danke schonmal! Ich probier später nochmal rum...

Noch eine Frage zu deiner Firewall-Regel, weil ich das noch nicht ganz verstehe: Wie genau hast Du den Netzbereich angegeben? Das würde ich sehr gerne auch so machen

 

[jkasten]

Ich hab Dir mal meine DNAT Regel meiner Sophos UTM angehängt. Das einzige wo ich selber nicht sicher bin, ob beim Netzwerkdienst nicht auch DNS Host reicht. Zumindest habe ich so keine Probleme und keine Angriffe auf die 3CX. Wird alles vorher an der Sophos abgeblockt.

 

[Roland-bg]

Ich hab mir das jetzt noch einmal genau angesehen. Leider sieht die Domain von der Telekom bei mir ein bisschen anders aus: sip-trunk.telekom.de.

Aber eine Einschränkung im Port 5060 auf die Telekom würde mir gar nicht so arg helfen. Tatsächlich funktioniert die App auch, wenn der Port gesperrt ist, aber wir haben im Homeoffice bisher IP-Telefone direkt eingebunden – das klappt auch hervorragend, ohne SBC.

D.h. die Telefone registrieren sich direkt auf [name].my3cx.de über Port 5060. Wir haben die Telefone manuell eingerichtet, aber auch in der Provisionierungsvorlage von 3cx ist das so vorgesehen.

Wir sind also immernoch in dem Dilemma: Wie schützen wir uns vor den Angriffen (getarnt als versuchte Registrierungen in der 3cx von Endgeräten) über Port 5060 können aber externe Nebenstellen einfach einbinden?

Hat da vielleicht jemand einen heißen Tipp für mich?

Liebe Grüße und vielen Dank schonmal!

 

[mux]

Ich habe das so gelöst: externe Nebenstelle manuell auf TLS umgestellt, das läuft auf 5061 und dann den 5060 komplett gesperrt. Wir haben allerdings nur 1 externe NS und ein paar Androids - ich habe nicht geprüft, ob es mit anderen Diensten Probleme geben könnte.

 

[Roland-bg]

Das ist eine gute Idee... Danke, @mux !

Noch eine Nachfrage dazu: Wie sperrst Du 5060? Ich hatte das mit Geoblocking (außer DE) gelöst, weil die Telekom ja keine IPs oder Ranges angibt. Wie @jkasten geschrieben hatte ging es evtl. auch. Aber die Domain zum Registrieren ist ja beim SIP-Trunk eine andere …

Zudem lässt sich ja nicht mit Sicherheit sagen, dass die Anrufe genau von dort aus kommen, wo die Domains sip-trunk.telekom.de oder reg.sip-trunk.telekom.de hin auflösen. Da hab' ich noch ein Denk-Problem

 

[mux]

Ich habe Port 5060 komplett zu und mit unserem Sip-Provider (nicht Telekom) kein Problem. Bei der Telekom könnte es ggf anders aussehen. Und durch den Firewallcheck kommt man so nicht durch. Oder anders ausgedrückt: man kann es mal auf eigene Gefahr hin ausprobieren.

 

[jkasten]

Welche Firewall nutzt Du denn? Die App läuft auch über den Tunnel Port 5090, geht also auch wenn der 5060 zu ist. Wenn Du die Telefone per SBC anbindest, kannst Du den Port 5060 auch auf die Telekom beschränken. Wie man einen Netzbereich eingibt, hängt von der Firewall ab obs geht und wie es gemacht wird. Die Telefonie kommt immer über die Telekomserver, nur nicht immer die selbe IP.

 

[Roland-bg]

Wir nutzen die Firewall im Draytek-Router. Klar, die App funktioniert dann – das ist schonmal super!

Es ging noch um die externen Telefone, die aktuell direkt und nich über einen SBC angemeldet sind. Aber da probiere ich mal die Lösung von @mux aus. Das würde ja das Problem schon lösen.

Im Draytek-Router können wir z.B. mit Geo-Blocking arbeiten oder natürlich auch über die Domain. Da war ich mir nur unsicher, wenn ich sip-trunk.telekom.de und reg.sig-trunk.de zulasse, ob das ausreichend ist. Die Adresse tel.telekom.de, die Du @jkasten genannt hast, kommt bei uns nicht vor (ist vom Endkundenanschluss, oder?)…

 

[jkasten]

Das sollte genau so gehen wie mit tel.telekom.de (ja normaler Magenta Anschluss). Nur wenn Du das machst, geht das mit den Telefonen nur noch per SBC über Port 5090 da der 5060 ja nur noch auf Anfragen aus dem Telekomnetz zu erreichen ist. Genau das selbe passiert auch wenn Du ihn ganz zu machst, auch dann gehen die Telefone nur noch per SBC.

 

[christian_4]

Hat da vielleicht jemand einen heißen Tipp für mich?

GeoBlocking ist schon ein guter Ansatz. Nutz doch "einfach" eine richtige Firewall die auch aktuelle GeoIP Daten nutzt.
Ansonsten könntest Du ach manuell die IP Ranges z.B. von Telekom und den Homeoffices setzen. (Ist aber sehr Aufwändig).

 

[mux]

Ich muss mich hier nochmal in gewisser Weise wiederholen, denn in meinen Augen ist eine Umstellung auf TLS (also Port 5061) für ext. Nebenstellen eh sinnvoll. Seit wir 5060 zu haben und nur noch mit 5061 "reinkommen", haben wir keine gesperrten Angriffsversuche mehr in der 3CX.
Alternativ eben via SBC.

 

[Roland-bg]

Hallo zusammen,

also wir sind – auch wenn es nicht aktuell ist – mit dem Geoblocking des Draytek-Routers jetzt gut gefahren. Bis heute gab es keine unbekannten Login-Versuche mehr, keine Sperrungen. Eine andere Firewall würde sich für unseren kleinen Betrieb kaum lohnen.

Externe Nebenstellen per TLS einzubinden war in dem Fall nicht möglich, da z.B. ein Gigaset N510 IP Pro verwendet wird, das kein TLS unterstützt. Abhilfe hat aber ein SBC auf einem Raspberry Pi geschaffen, der sich getunnelt über Port 5090 mit der 3cx verbindet. Das Gigaset verbindet sich mit dem SBC und alles klappt wunderbar.

@mux, wie sollte das bei der Telekom funktionieren, den Port 5060 komplett zuzumachen? Die Anrufsignalisierung kommt ja per TCP genau darüber. Wenn es da einen Weg gäbe, wäre ich immernoch interessiert …

Viele Grüße
Roland

 

[mux]

Wie geschrieben, bei unserem Provider funktioniert es seit jeher. Ich habe es eben auch mal mit einer Telekom-Nummer probiert (Registrar tel.t-online.de) und auch hier klappt die Signalisierung.

Aber es bleibt ja auch die Option 5060 lediglich für die Telekom offen zu lassen, dann müsste man sich zumindest über die Homeoffices keine Gedanken mehr machen.

 

[Roland-bg]

Jetzt hab ich grad nochmal in den Router geschaut ... Also die Firewall-Regeln hatte ich vorher schon deaktiviert und den Port 5060 von UDP/TCP auf TCP geändert. Damit war das Problem schon behoben.

Da hatte ich mich falsch erinnert – vielleicht hilft es ja jemandem.

Aber tatsächlich hab' ich gerade auch die Portweiterleitung von 5060 gänzlich deaktiviert. Und trotzdem kommen Anrufe rein. Erklären kann ich das nicht … Aber es scheint zu klappen.

Als ich aber beispielsweise in den Firewall-Regeln Port 5060 geblockt hatte (beim Empfangen) hat es natürlich nicht mehr geklappt.

 

[christian_4]

Ich muss mich hier nochmal in gewisser Weise wiederholen, denn in meinen Augen ist eine Umstellung auf TLS (also Port 5061) für ext. Nebenstellen eh sinnvoll. Seit wir 5060 zu haben und nur noch mit 5061 "reinkommen", haben wir keine gesperrten Angriffsversuche mehr in der 3CX.
Alternativ eben via SBC.

In der Tat ist das Problem erstmal "gelöst", bis die ersten Anmelde / Angriffsversuche über 5061 kommen. TLS nützt dagegen ja nichts.
Ist also nur eine Frage der Zeit bis es auch auf dem Port "los" geht.