Firewallsettings/Verständnisfragen

[Zylex]

Hallo Forum,

Einige Fragen bezüglich Absicherung der 3CX. Ich bin noch recht neu in der VOIP-Welt. Den Artikel über die Firewallsettings habe ich gelesen und auch so umgesetzt. Firewallcheck ist ok und es funktioniert auch alles. Jetzt möchte ich das Ganze aber etwas mehr absichern. Eine Portweiterleitung aller IP-Adressen auf die 3CX führt nur zu vielen Sperreinträgen innerhalb der Anlage. Dies möchte ich schon durch die Firewall unterbinden.

Ich habe jetzt des Öfteren hier im Forum gelesen, daß Zugriff auf die Ports nur vom VOIP-Provider zugelassen werden müssen. Heißt das, daß jede eingehende Verbindung immer nur vom VOIP-Provider kommt, egal wer weltweit anruft?

Um es mal an den Ports direkt festzumachen:

Port 5060 (SIP): das ist wohl der wichtigste Port, da darüber die Verbindungen aufgebaut werden. Wird nun ein Telekom-SIP-Trunk benutzt, müsste es reichen die Portweiterleitung nur für alle Telekom SIP-Trunk IPs (oder Subnetze) weiterzuleiten? Mit dieser Whitelist wären alle anderen IPs schon firewallseitig gesperrt. Kommen so trotzdem alle eingehenden Anrufe durch? Sprich kommen eingehenden Verbindungen immer nur über meinen VOIP-Provider, egal von wo jemand anruft? Warum thematisiert das die 3CX Anleitung dann nicht so? Die Empfehlung den Port komplett freizugeben ist doch dann übertrieben?

Falls das Ganze so ist, gibt es eine Liste der IPs/Subnetze die die Telekom für SIP-Trunks nutzt (auch für Business-Anschlüsse)?


Port 9000-10999 (RTP): trifft da das Gleiche wie für Port 5060 zu? Sprich man kann dafür die selbe Whitelist benutzen (Telekom only)? Kommen also auch alle Datenkanäle immer über unseren VOIP-Provider (auch FAX usw.)?

Port 5061 (Secure SIP): Müsste ja auch die selbe Whitelist betreffen wie 5060. Das bereitet mir aber etwas sorgen, ist normaler VOIP-Traffic nicht verschlüsselt? Werden Gespräche an Port 5060 oder den Datenports unverschlüsselt durchs Internet übertragen? Scheint mir ein erheblicher Sicherheitsverlust im Vergleich zu ISDN zu sein. Wie zwingt man einen SIP-Trunk auf Verschlüsselung? Intern ist dies nicht unbedingt nötig, da VLAN getrennte Netze vorhanden sind, aber extern sollten doch alle ein- und ausgehenden Verbindungen verschlüsselt sein? Oder führt dies dann zu fehlgeschlagenen Anrufen wenn die Gegenstelle keine Verschlüsselung unterstützt?

Port 5090: Nur nötig, wenn Apps direkte Verbindungen zu der 3CX aufbauen wollen. Wenn keine Apps benutzt werden kann dieser Port geschlossen bleiben?

Port 443/5000/5001: Nur nötig, wenn Remote-Phones sich direkt an der 3CX anmelden sollen oder wenn ein Tunnel von einer anderen 3CX aufgebaut werden soll. Sprich die Whitelist könnte nur alle IPs von Remotestandorten enthalten (mit Ausnahme des 3cx Webmeeting FQDN). Die VOIP-Provider Subnetze wären nicht nötig?


Danke für die Unterstützung. Ich habe zwar gelesen, daß ab v16 die Weiterleitung von 5060 überhaupt nicht mehr nötig ist, dies aber auch stark von der eingesetzten Firewall abhängt. Ob dies auch auf die RTP Ports zutrifft habe ich nicht gelesen. Gerade aber 5060 für die ganze Welt zu öffnen scheint mit nicht sehr sicher (auch wenn die 3CX das sehr gut abfängt). Aber in Sicherheitsfragen ist weniger meist mehr

Version ist die aktuelle v15 SP6 (15.5.15502.6).

Grüße

 

[matictec]

Deine Annahmen sind korrekt. Man erreicht in der Regel ein großes Plus an Sicherheit, wenn man SIP, SIPS und RTP nur von seinen VoIP-Providern zulässt. Die meisten Provider bieten ein entsprechendes Dokument mit den technischen Daten, in dem auch die IP-Bereiche gelistet sind. Clients verbinden sich in diesem Szenario per VPN.

 

[Zylex]

Das hilft mir doch schon mal weiter. Leider finde ich keine offizielle Liste der Telekom. Hast du eine Ahnung wo man diese bekommen könnte?

Du sagst aber, es werden nie eingehende Verbindungen außer die vom VOIP-Provider aufgebaut, egal woher der Anruf kommt? Auch nicht seitens RTP?

Kannst du auch noch was zu SIPS sagen? Wird dies standardmäßig benutzt oder sind alle externen Anrufe standardmäßig unverschlüsselt?

 

[bmachens]

Es gibt Provider die geben die Subnetze raus. Bei der Telekom ist dies schwierig. Für 5060 kannst du IPs auf ein paar SBC's der Telekom eingrenzen (DNS Records). Für RTP besteht das Problem, dass die Telekom diverse SBC's hat von denen RTP kommt. Das kann man nicht eingrenzen. Und es ist keine Garantie, dass die Telekom morgen andere IPs benutzt oder IPs dazu kommen.

Deswegen ist die Guide auch so einfach gestaltet (5060 komplett frei). Weil man nicht garantieren kann was ein Provider von heute auf morgen tut.

5061 bräuchst du nur, wenn du den Telekom-Trunk auch verschlüsselt benutzt. Ansonsten kann man den auch sperren.

 

[Zylex]

Moin,

jep sieht so aus. Die Telekom lehnt alle Anfragen zu IPs/Subnetzen ab. Habs über mehrere Kanäle versucht. Gefällt mir zwar nicht, aber gibt wohl keine andere Lösung.

Weißt du wie man einen Telekom-Trunk verschlüsselt aufbaut? In der Trunk-Config sehe ich dazu keine explizite Option. Oder hängt das nur von den Verbindungseinstellungen wie Proxy usw. ab?

 

[datamate]

Hallo zusammen,
ich stimme euch grundsätzlich zu, dass es total sinnvoll wäre die Kommunikation der Telefonanlage auf den Provider zu beschränken.
Meine Erfahrung ist jedoch leider, dass man damit sich mehr Probleme als Lösungen einhandelt. In der Vergangenheit kam es immer wieder vor das die von mir verwendeten Provider (telekom, sipgate und easybell) ohne Vorwarnung neue Server genutzt haben und dann plötzlich die Telefonie still stand.

Ich bin mittlerweile dazu übergegangen die Ports der 3CX nicht auf gewisse IP-Bereiche oder -Adressen zu beschränken. Stattdessen trage ich z.B. bei easybell meine Telefonanlage als einzige erlaubte IP ein. So können böse Buben schon mal nicht kostenpflichtige Telefonate über meinen Account führen.

Ich stimme euch grundsätzlich zu, aber die Realität hat mir in der Vergangenheit häufig Probleme bereitet.

Viele Grüße
Christoph

 

[bmachens]

jep sieht so aus. Die Telekom lehnt alle Anfragen zu IPs/Subnetzen ab. Habs über mehrere Kanäle versucht. Gefällt mir zwar nicht, aber gibt wohl keine andere Lösung.

Da die Telekom nur TCP benutzt, kannst du 5060 komplett zu machen. Es müsste dann trotzdem normal funktionieren. So halbgesperrte Sachen haben wie bereits erwähnt ein gewisses Fehlerpotential. Es ist aber auch kein Hexenwerk.

Weißt du wie man einen Telekom-Trunk verschlüsselt aufbaut? In der Trunk-Config sehe ich dazu keine explizite Option. Oder hängt das nur von den Verbindungseinstellungen wie Proxy usw. ab?

Rein praktisch habe ich noch keinen verschlüsselten Telekom NGN Trunk gesehen. Bei den größeren Anschlüssen, wo man verschlüsseltes SIP extra zubuchen muss, da war es nur ein anderer Port

Wenn ich ein Testsystem hätte, würde ich von "transport-tcp.sip-trunk.telekom.de" auf "transport-tls.sip-trunk.telekom.de" wechseln und beim Port 5061 eintragen. Und dann schauen was passiert. Im schlimmsten Fall geht nichts und man stellt es zurück.

Gruß

 

[Zylex]

Das mit 5060 komplett zumachen habe ich auch schon gelesen, das werde ich evtl. mal testen. Ähnlich sieht es mit TLS aus. Muss ich dann halt mal an nem WE machen, Testsystem habe ich leider keins.

Danke für die Info.