Newsgroup: it.comp.reti.locali
Titolo: Rendere sicura la linea Voip

Ciao a tutti,
recentemente ho attivato una linea voip.
Nella guida di configurazione del servizio è riportato:
 
"Mettere Access List sul Firewall sulla porta 5060 con lo scambio di 
pacchetti solo dall’IP della centrale Voip.
 
Cosa vuol dire esattamente???
 
 
Il modem che stò utilizzando è questo:
https://assistenzatecnica.tim.it/at/portals/assistenzatecnica.portal?_nfpb=true&_pageLabel=InternetBook&radice=consumer_root&nodeId=/AT_REPOSITORY/944005
 
 
Spero in un vostro aiuto.
Grazie in anticipo.

 
https://assistenzatecnica.tim.it/at/portals/assistenzatecnica.portal?_nfpb=true&_pageLabel=InternetBook&radice=consumer_root&nodeId=/AT_REPOSITORY/944005
 
E' il router di Telecom, vuoi che non abbiano messo in sicurezza il 
router da loro fornito? Peraltro, il loro sip server accetta connessioni 
solo dalle loro linee... Penso tu possa dormire sonni tranquilli...


mmmmm... il centralino sta segnalando decide di tentativi di attacco....
Vorrei quindi rendere il tutto ancora più sicuro.
Ma quello che proprio non capisco è cosa voglia dire:


 
 
Nel mio watchguard faccio una regola sulla porta 5060 con il campo from: 
Ip della centrale VoIP / e nel campo to: Anywhere.
 
In pratica la porta 5060 la puo' utilizzare solo il centralino.
 
Prendila un po' con le molle, ne so ancora pochino ma, a logica, 
dovrebbe essere questo...
 

 
 
 
Ma su quale sezione delle pagine di configurazione devo entrare?
A me verebbe sulle "regole di port forwarding" ma da qui cosa devo fare 
esattamente Porta WAN? Porta LAN? Indirizzo MAC??
 
Oppure devo andare su un'altra sezione? quale?
 
Scusate per voi forse è banale ma per me è la prima volta ed ho 
necessità del vostro aiuto :-(
 
PS: la linea telefonica è la Fibra della TIM, ma la linea Voip è esterna 
della ditta VoiPVoice i quali purtroppo non mi danno assistenza a 
livello modem TIM :-(
 
Grazie in anticipo.
 

 
 
Penso di SI :-(

 Ma avete necessità di client esterni con ip qualsiasi?
 
Non sono un esperto, ma provo spiegarti la situazione.
 
Ho un centralino Yeastar con software MYPBX.
Poi ho il modem della TIM per la linea della Fibra.
Poi ho una linea Voip di un fornitore esterno VoipVoice.
 
Tutto funziona correttamente, nel senso che io posso telefonare e 
ricevere telefonate.
 
Nel modem TIM io ho solo modificato la password ed il nome della rete 
Wi-Fi e la password per accedere alla configurazione del modem stesso... 
insomma quello che si fa di solito.
Non ho aggiunto nessun'altra configurazione oltre a quella standard del 
modem TIM!
 
Quando accedo alla configurazione del centralino Yeastar spesso mi 
segnala la presenza di nuovi attacchi che arrivano da alcuni IP che 
automaticamente inserisce in una BlackList.
Cercando sul web questi IP sembra che arrivino per la maggior parte 
dall'estero (Russia, ecc.)
 
Ho contatto VoipVoice per chiedere chiarimenti e mi hanno solo risposto 
che devo:
 
"Mettere Access List sul Firewall sulla porta 5060 con lo scambio di 
pacchetti solo dall’IP della centrale Voip."
 
Mi hanno detto che questo debba essere fatto nel firewall del modem.
Ovviamente conosco l'IP della centrale Voip ma non riesco capire dove e 
come inserirlo nella configurazione del modem TIM.
Cos'è l'Access List sul Firewall???
 
Spero di aver spiegato tutto in caso contrario non esitare a farmi 
domande specifiche.
 
Grazie.

 
 
Spero di rispondere correttamente per non farti arrabbiare :-(
 
1a domanda: chi l'ha installato?
Sia il modem che il centralino sono stato installati e configurati dal 
sottoscritto.
Per il centralino, dopo aver pagato più volte tecnici esterni che ogni 
volta mi dicevano che quanto io chiedevo non era possibile, ho resettato 
tutto, ho studiato per giorni tutta la configurazione ed alla fine ho 
risolto tutto anche quello che sembrava impossibile ;-)
Ovviamente i forum i NG hanno aiutato molto.
 
2a domanda: hai necessità che in esterno (come ho già chiesto) dei 
client debbano collegarsi sul tuo pbx
Non ho necessità che dall'esterno accedano alla configurazione del PBX.
Tuttavia ho la necessità di portarmi dietro il pc ovunque nel mondo, e 
di collegarmi via VPN alla rete dell'ufficio e grazie all'uso di 
software come Zoiper utilizzare la linea Voip del centralino.
Ne risulta ovviamente che quando mi collego alla VPN riesco anche 
accedere alla configurazione del centralino e di ogni altro dispositivo 
collegato alla rete.
Anche questo attualmente funziona bene sia dalla rete locale, sia via 
VPN dall'esterno.
 
Spero di aver risposta alle tue domande...
 

 
 
Chi e' il tuo padrone ?
 
Un po' di dignita', suvvia...

 
 
Urka ti ho toccato uno schiavo ?
 
Hai bisogno di essere continuamente incensato perche' hai la vita grama ?
 
Vecchio, insolente e prepotente.
 
Per forza che i gruppi sono deserti, con gente come te, incazzata contro 
il mondo, che scaccia tutti quelli che non si genuflettono...
 
 

 
 
 
mmmm risposta secca e precisa è difficile.
allora... vediamo... nel modem TIM non ho cambiato nulla e mai inserito 
nessuna configurazione sulla 5060.
 
Nella configurazione del PBX invece ho dovuto inserirla quando ho 
settato la linea Voip:
UserName: 041111111
Password: XXXXXXXXX
----------------------
Sip Domain: 
user.xxxxxx.it
 
Realm: 
user.xxxxxx.it
 
Register Address: 
user.xxxxxx.it
 
Porta: 5060 TCP/UDP
Proxy Server: 
user.xxxxxx.it
 
Stun Server: 
stun.xxxxxx.it
 
 
Il firewall del centralino è disabilitato, ma sinceramente ora non mi 
ricordo il perchè di questa scelta...., sono passati mesi,... forse mi 
aveva dato problemi che ho risolto disabilitandolo.
 
 
Sul centralino c'è un pagina "Regole Blacklist" dove la 5060 è 
configurata nel seguente modo:
Porta	Protocollo	Velocità	
5060	UDP	120/60s	
5060	UDP	40/2s	
8022	TCP	5/60s
 
 
Spero che da queste informazioni tu possa capire se è aperta o meno.
Io non ho le competenze per capirlo.
Eventualmente puoi indicarmi che cosa e dove cercare?
 
Grazie.
 
 
 

 
 
Ah, i gruppi non sono deserti? Guarda questo, oggi ci sono 3 post, 
adesso 4 con questo, di cui 1 mio ed 1 tuo in mia risposta che, tra 
l'altro, non sono relativi a questioni tecniche, quindi in tema ce ne 
sono solo 2!
 
In un gruppo *reti* informatiche dove *milioni* di utenti hanno problemi 
e vorrebbero discuterne.
 
Ma non si puo', perche' ci sono quelli come te che assalgono, offendono, 
bistrattano, in modo da regnare incontrastati con 4 sottomessi 
genuflessi ai quali concedere briciole di presunto sapere..
 
E questa sarebbe la diffusione LIBERA dell' informazione ? Cioe' il 
motivo *vero* per cui e' stato creato usenet ?
 
Tu, e quelli come te, sono il MALE dell' informazione libera, sacerdoti 
che non accettano la inesorabile vecchiaia e distruggono tutto quello 
che possono...

 sopratutto alla voce UPnP
 
Ecco lo screenshot completo:
https://snag.gy/w03QSA.jpg
 

 Ok, abbiamo finito. Domande?
Si tante ma al momento direi di dicarci a quelle espresse qui sopra.
 
Ancora grazie!
 

 Indovina perchè? ;-)
 
Per fare in modo che il centralino accetti comunicazioni provenienti 
dalla rete VPN ?
 
 
Questo è l'attuale configurazione:
https://snag.gy/BLFpfe.jpg
 
 
 
E' ok?
Devo fare qualcos'altro?
 
Grazie.

 Studiare ed essere un pò più sicuro. ;-)
 
 
*** = Dopo tutta sta fatica, un po' di pappa pronta non sarebbe male.
Cosa ne dici se ti chiedo di rispondere alle mie domande senza altre 
domande?
Ho capito che non ti piace fornire la "pappa pronta" e ti capisco, ma 
proprio per questo motivo ho cercato di risponde a tutte le tue 
domande/quiz, ma penso che siamo arrivati al punto che non so più come 
proseguire...

 
 
 
Non ho capito nulla...., questa volta speravo in un po' di pappa pronta 
che non è arrivata :-(
Ora ho rimesso le impostazioni che fino a ieri sembravano funzionare, ed 
ora non funziona più.
Ci rinuncio

 2Cnat%2Cstun
 
 
????
 

 Siamo messi malino...Teamviewer andrebbe bene?
 
 
Si certo!
mandami la tua email a lightemi[et]
tin.it
 
 
 
Grazie.

Lupo ha pensato forte :

E le coordinate bancarie per il bonifico... :D

 pacchetti solo dall’IP della centrale Voip."
 
posto che non mi sembra che il router telecom consenta di configurare 
un firewall sulla parte voip, la frase virgolettata significa che devi 
inserire un firewall configurato in modo da permettere solamente di 
raggiungere l'ip della centrale voip.
COme ti hanno detto non dovrebbe servire.
Non e' che l'attacco e' sul centralino che magari e' accessibile anche 
da internet?

 ... in qualche modo son in calce alla firma ;-) 
 
In effetti c'assomigliano...:))

 mmmmm... il centralino sta segnalando decide di tentativi di attacco....
 
Certo l'avevi spiegata un po' malino... E' saltato fuori un centralino!
 
Nel frattempo, immagino tu abbia risolto :)