Правила на микротик для защиты IP телефонии от всякой нечести

Спасибо брату Дмитрию Саврико за предоставленную информацию.

add action=drop chain=input comment="Port Scanners" src-address-list="Port Scanners"
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input in-interface-list=WAN protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input in-interface-list=WAN protocol=tcp tcp-flags=!fin,!syn,!rst,!ack
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input in-interface-list=WAN protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input in-interface-list=WAN protocol=tcp tcp-flags=fin,rst
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input in-interface-list=WAN protocol=tcp tcp-flags=fin,!ack
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input in-interface-list=WAN protocol=tcp tcp-flags=fin,urg
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input in-interface-list=WAN protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input in-interface-list=WAN protocol=tcp tcp-flags=rst,urg
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input dst-port=0 in-interface-list=WAN protocol=tcp
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=none-dynamic chain=input dst-port=0 in-interface-list=WAN protocol=udp

add action=drop chain=input comment="sip blacklist" src-address-list=sip-blacklist
add action=add-src-to-address-list address-list=sip-blacklist address-list-timeout=none-dynamic chain=input dst-port=5060,5061 in-interface-list=WAN limit=120/1m,5:packet protocol=udp
add action=add-src-to-address-list address-list=sip-blacklist address-list-timeout=none-dynamic chain=input dst-port=5060,5061 in-interface-list=WAN limit=40/2s,5:packet protocol=udp
add action=add-src-to-address-list address-list=sip-blacklist address-list-timeout=none-dynamic chain=input dst-limit=50,50,src-and-dst-addresses/10s dst-port=5060,5061 in-interface-list=WAN protocol=udp

TCPdump

tcpdump -s 2500 host 213.145.43.128 or host адрес с которого совершается вызов -w /root/80215532.cap 
(Считываем пакеты каждые 2500мсек хоста sip.zebra.ru и сохраняем в папку под именем 80215532.cap) данный файл можно будет открыть в WiresShark и найти проблему.

Настройка SIP отслеживание ошибок

Проброс портов SIP на D-Link DFL-260e

Очень хорошая и понятная статья http://habrahabr.ru/company/3cx/blog/256721/

ОЦЕНИТЬ ИНФУ

Elastix за Nat, проброс iax2, DFL-260e, mikrotik

В одном из постов я писал, как объединить АТС Elastix в корпоративной сети по VPN, здесь будет описано, как объединить Elastix через внешнюю сеть, посредством публикации портов на маршрутизаторах D-link 260e и Mikrotik.

На Elastix_1

Вносим изменения в файл sip_general_custom.conf:

externip=95.79.34.212

localnet=192.168.20.0/255.255.255.0nat=yescanreinvite=noregistertimeout=20registerattempts=0maxexpiry=3600minexpiry=60

2. Создаем Trunk IAX2

PBX -> PBX Configurations -> Trunk
Название транка: Moscow&Saratov
Исходящий ID номер: 3100
Название транка: Saratov (Должен совпадать с контекстом PEER на Elastix_2)

Контекст PEER
type=friend
context=from-internal
host=192.168.20.15
username=Moscow
secret=6459292
qualify=yes
qualifyfreqok=25000
transfer=yes
trunk=yes
forceencryption=yes  - Для шифрования, чтобы нас никто не подслушивал можно добавить
auth=md5

Создаем маршрут из Москвы в Саратов
PBX -> PBX Configurations -> Outbound Routes
Название маршрута: MoscowToSaratov
Шаблоны номеров: совпадение шаблона по 32ХХ
Последовательность транков: Moscow&Saratov

В консоли (или в меню tools) команда iax2 show peers должна показать что-то вроде:

Name/Username    Host                 Mask             Port          Status      Description
spb/msk          x.x.x.x   (S)  255.255.255.255  4569 (T)  (E) OK (12 ms)

1 iax2 peers [1 online, 0 offline, 0 unmonitored]
_________________________________________________________________________
На Elastix_2
Вносим изменения в файл sip_general_custom.conf:
externip=45.23.100.212

localnet=192.168.100.0/255.255.255.0nat=yescanreinvite=noregistertimeout=20registerattempts=0maxexpiry=3600minexpiry=60

PBX -> PBX Configurations -> Trunk
Добавляем iax2 транк
Название транка: Saratov&Moscow
Исходящий ID номер: 3200
Название транка: Moscow (Должен совпадать с контекстом PEER на Elastix_1)

Контекст PEER
type=friend
context=from-internal
host=192.168.100.5
username=Saratov
secret=6459292
qualify=yes
qualifyfreqok=25000
transfer=yes
trunk=yes
forceencryption=yes  - Для шифрования, чтобы нас никто не подслушивал можно добавить
auth=md5

Создаем маршрут из Москвы в Саратов
PBX -> PBX Configurations -> Outbound Routes
Название маршрута: SaratovToMoscow
Шаблоны номеров: совпадение шаблона по 31ХХ
Последовательность транков: Saratov&Moscow

Проброс портов на DFL-260e

Заходим в Objects -> Services
Создаем Сервис:
Add -> TCP/UDP Service

Name: IAX2
Type: UDP
Source: 0-65535
Destination: 4569
Ok.

Далее идем в Rules -> IP Rules
Add -> IP Rule Folder (Создаем папку VOIP. В нее будем складывать все правила связанные с телефонией)

Первое правило:
Add -> IP Rule
Name: IAX2
Action: SAT
Service: IAX2
Source: wan  -  all-nets
Destination: core - wan_ip
Во вкладке SAT
Destination IP:  ip адрес Elastix (локальный)
New Port: 4569
Ok.

Второе правило:
Add -> IP Rule
Name: IAX2_Allow
Action: Allow
Service: IAX2
Source: wan  -  all-nets
Destination: core - wan_ip
Ok.

Настройка на DFL-260e окончена

Настраиваем Mikrotik

IP ->FireWall -> Nat
General:
Chain: dstnat
Protokol: udp
Dst.Port: 4569
In.interface: ether1gateway
Action:
Action: netmap
To Addresess: ip адрес Elastix (локальный)
To ports: 4569

ОЦЕНИТЬ ИНФУ

Объединение двух и более PBX Elastix

Основные критерии должны соответствовать:

1. Моя задача состоит в том чтобы внутри корпоративной сети объединить 2 и более Elastix. PBX.
Сеть: Elastix_1: 192.168.100.5 Москва
Сеть: Elastix_2: 192.168.20.15 Саратов

Данные сети объединены по VPN с ipsec шифрованием. То есть из 192.168.100.0 сети я свободно пингую сеть 192.168.20.0 и обратно.

Две АТС Elastix будут объединены посредством протокола iax2.
Для этого необходимо, чтобы порты udp 4569 внутри сети были открыты.

Необходимо определиться с нумерацией внутренних номеров.

3100 - 3199 (Москва)
3200 - 3299 (Саратов)
3300 - 3399 (Калининград)

Выполнение работ:

На Elastix_1

PBX -> PBX Configurations -> Trunk
Добавляем iax2 транк
Название транка: Moscow&Saratov
Исходящий ID номер: 3100
Название транка: Saratov (Должен совпадать с контекстом PEER на Elastix_2)

Контекст PEER
type=friend
context=from-internal
host=192.168.20.15
username=Moscow
secret=6459292

qualify=yes

Создаем маршрут из Москвы в Саратов
PBX -> PBX Configurations -> Outbound Routes
Название маршрута: MoscowToSaratov
Шаблоны номеров: совпадение шаблона по 32ХХ
Последовательность транков: Moscow&Saratov

На Elastix_2

PBX -> PBX Configurations -> Trunk
Добавляем iax2 транк
Название транка: Saratov&Moscow
Исходящий ID номер: 3200
Название транка: Moscow (Должен совпадать с контекстом PEER на Elastix_1)

Контекст PEER
type=friend
context=from-internal
host=192.168.100.5
username=Saratov
secret=6459292

qualify=yes

Создаем маршрут из Москвы в Саратов
PBX -> PBX Configurations -> Outbound Routes
Название маршрута: SaratovToMoscow
Шаблоны номеров: совпадение шаблона по 31ХХ
Последовательность транков: Saratov&Moscow

ОЦЕНИТЬ ИНФУ

Elastix, смена ip-адреса через терминал по SSH

Для смены ip-адреса на IP-АТС Elastix через терминал:

1. Откройте в безопасности Elastix разрешение для доступа по SSH
2. Войдите через WinSCP в терминал Elastix введя его ip адрес.
3. Введите в терминале команду: system-config-network
4. Настраивайте ip адрес, как Вам необходимо.