Firewall , ganz ohne ?

[ipsafe]

hallo,
ich musste meine 3cx umziehen , bei alten provider hatte der virtuelle server port filter.
beim neuen virtuellem server ist 3cx jetzt komplett offen im internet.
ist die 3cx installation default so sicher ?

eigentlich wollte ich lokal auf debian UFW laufen lassen, was aber fehler mit iptables produziert und dann geht gar nichts mehr.

 

[mbehrens]

ich musste meine 3cx umziehen , bei alten provider hatte der virtuelle server port filter.
beim neuen virtuellem server ist 3cx jetzt komplett offen im internet.
ist die 3cx installation default so sicher ?

Nichts ist sicher, was direkt erreichbar ist.

 

[ipsafe]

Nichts ist sicher, was direkt erreichbar ist.

sehr weise antwort , aber nicht hilfreich

 

[Road69]

@ipsafe
Naja, ehrlicherweise ist das die beste, dir man dir auf deine Frage geben konnte.

Es ist nur Software. Basiert zum Großteil auch auf Open Source.

Und ohne regelmäßige patches bekannter Lücken, wird so ein System zunehmend unsicher.

Zumal man hoffen muss, keine Zero-day-Lücken zu haben.

Kennst du die honeypots der Telekom?
Unter www.sicherheitstacho.eu siehst du, wieviele Angriffe (auf kontrollierte Systeme) erfolgen. Schau dir allein nur „links oben“ die große Zahl an.

—> das sind nur die der letzten 60 Sekunden!!!


Und da muss nur einer dabei sein, der Ahnung hat.




Die problematischen Sicherheitsthemen bei 3cx aus dem letzten Jahr kennst Du?


—> Man sollte schon zusätzliche Absicherungen vornehmen (lassen)

 

[ipsafe]

naja 3cx könnte ja out of the box ausreichend gehärtet sein, dass es ohne firewall davor ausreichend sicher ist.

deswegen wollte ich UWF einrichten , was aber fehler produziert.
ist UWF generell ein problem auf der 3cx distribution oder ist da nur bei mir was schief gelaufen.

ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
ERROR: problem running ufw-init
iptables-restore: line 2 failed: No chain/target/match by that name.

hab jetzt erst mal PasswordAuthentication für ssh raus genommen

 

[bitn]

Hallo @ipsafe

man sollte keine Anpassungen direkt auf der 3CX vornehmen, da dann der Support von 3CX verloren geht.
Generell würde ich eine Firewall vor der 3CX empfehlen. Da man dann nur benötigten Ports vor der 3CX öffnen kann oder auch z.b. den Port 5060 auf das Netz des SIP Trunk Providers begrenzen kann.

Beste Grüße

 

[ipsafe]

das hilft mir alles nicht weiter , der neue VPS hat keine firewall , bzw eine virtuelle würde den kostenrahmen sprengen.

der alte hatte portfilter aber nur eine cpu , damit war kein upgrade auf v20 möglich , deswegen der wechsel.

ist UFW auf 3cx ein bekanntes problem ?

 

[bitn2]

Ein bekanntes Problem ist es wenn da drin rumgefummelt wird. Das würde ich dringend lassen und eine Software Firewall davor schalten. Die gibt es auch bei vielen Anbietern günstig bis umsonst.

 

[ipsafe]

hardware/software firewall davor ist aufgrund der gegebenheiten nicht möglich

 

[bitn2]

hardware/software firewall davor ist aufgrund der gegebenheiten nicht möglich

Dann den Anbieter wechseln, so würde ich keine PBX im Netz hängen haben wollen.

 

[ipsafe]

ich auch nicht , deswegen der wunsch nach lokaler firewall UFW

 

[bitn2]

Den Wunsch verstehe ich nicht... Du willst die Firewall auf der selben Maschine laufen lassen wie die PBX? Das macht perse schon keinen Sinn. Wie gesagt, Anbieter wechseln wo du nicht so beschnitten bist in deinen Möglichkeiten.

 

[ipsafe]

wieso macht das keinen sinn ?
eine firewall davor ist kein stück sicherer als UFW direkt auf der 3cx

eine zusätzliche firewall ist nur eine weitere fehlerquelle für downtime

 

[bitn2]

Doch natürlich, wenn es ein Angreifer bis auf die Firewall schafft, hat er immer noch die Sicherheitsmechanismen der PBX vor sich. Hast du beides auf einer laufen, ist er schon drin und fertig.

 

[ipsafe]

nach der logik müsste man unendlich viele unterschiedliche firewalls vorschalten .
bzw. wenn jemand eine firewall hacken kann, ist eine 3cx OHNE UWF erst recht kein problem.
oder gerade dann sollte zusätzlich eine UFW auf der 3cx sein.

 

[bitn2]

Die 3CX, zumindest mit Version 18 nutzt iptables. Wofür man nun unendlich viele unterschiedliche Firewalls davor schalten sollte erschließt sich mir nicht. Aber auch egal, mach wie du meinst. Auf der 3CX irgend eine Firewall zu installieren und zu nutzen wird dich aber nicht glücklich machen.

 

[ipsafe]

UFW ist nicht irgendeine firewall
es ist eigentlich nur ein tool um iptables einfach darzustellen.
auf debian ist das quasi standard

 

[bitn2]

Ich wiederhole mich gerne noch mal, jedwede Installation von irgendwelchen tools die nicht für 3cx vorgesehen sind bringend deine Installation in einen unsupporteten Zustand. Davon ab ist nicht mal gesagt das deine Anpassungen nach einem Update noch vorhanden sind. Verstehe dein Problem nicht einen vernünftigen Anbieter zu nutzen wo du eine richtige Firewall vor der 3CX nutzen kannst. An den kosten kann es nicht liegen, denn da gibt es echt billige Anbieter die super funktionieren (Hetzner zb).

 

[itNGO]

Eigentlich spielt das mit der zusätzlichen Firewall meiner Meinung nach kaum eine Rolle.... bestimmte Ports müssen ja eh geöffnet sein, damit die Telefonanlage, Telefonanlage sein kann..... wenn im SIP oder Webserver eine Lücke ist, hilft auch die Firewall nichts, denn die lässt genau diesen Port ja zwangsweise durch. Eine SIP-IPS, IP-Blacklists und WAF könnten helfen, das ist aber eine andere "Nummer" was die Konfiguration angeht und oft mit Kosten verbunden....

System aktuell halten.... ein Restrisiko bleibt immer....

 

[bitn2]

Ich bin raus.... Wer der Meinung ist seinen Server, egal ob PBX oder was anderes, ohne separate Firewall davor ins Netz zu stellen, dem ist nicht zu helfen.