Guia de Segurança - Update IPBRICK 11 v5.3

Transcrição

1 Guia de Segurança - Update IPBRICK 11 v5.3 iportalmais 1 de Julho de

2 Conteúdo 1 Introdução Ameaças Básicas à Segurança Visão Geral do Update Master/Slave e Master/Cliente Resolução de Problemas Os telefones remotos não conseguem se registar Não consegue efetuar chamadas via rota SIP Não é possível enviar FAX por IP Exemplos Práticos - Inserir uma Regra Firewall Regra Firewall para um IP Regra Firewall para uma Rede

3 Lista de Figuras 1 Aviso de instalação Slave/Cliente Exemplo 1 - Inserção de regra na Firewall - Para um IP Exemplo 2 - Inserção de regra na Firewall - Para uma rede

4 1 Introdução A IPBRICK International orgulha-se em oferecer a melhor relação custo-benefício do mercado. Mas a IPBRICK tem funcionalidades mais que suficientes para implementar uma solução VoIP com segurança total para todos os seus clientes e parceiros. Infelizmente, o que temos assistido no passado é que alguns dos nossos clientes optam por atitude facilitista no que toca à segurança e não seguem as diretrizes de segurança da IPBRICK International. O update_11-v5.3 previne este tipo de comportamento imprudente força todos a respeitar as diretrizes de segurança da IPBrick. A partir de agora, se usar a IPBRICK, a segurança não é uma opção é uma obrigação! 1.1 Ameaças Básicas à Segurança Ameaças diárias são comuns e cabe à IPBRICK International garantir a segurança da sua informação privada de uso não autorizado e até má gestão, garantido assim a supressão desta ameaça. As ameaças mais comuns à segurança de redes são: Ataques Denial-of-service (DoS): Tentativas de fazer com que um recurso de máquina ou rede fique indisponível para os seus utilizadores; Eavesdropping: : Um ataque de rede composto pela captura e leitura de pacotes em busca de qualquer tipo de informação confidencial; Packet spoofing: Falsificação de dados por uma pessoa ou programa (ex.: Caller ID). O update_11-v5.3 visa resolver estes problemas, protegendo seus troncos SIP de uso não autorizado. (Por favor, consulte o capítulo 2 Visão geral do Update deste documento. 2 Visão Geral do Update Com o nosso update_11-v5.3, o acesso SIP via Internet está agora mais restringido, já que todas a comunicações VoIP desconhecidas (não configuradas na IPBRICK) para a porta UDP 5090 estão bloqueadas pela firewall. 4

5 Qualquer acesso, através de uma rota desconhecida, deve ser tida em conta, sendo necessária a criação de novas regras na firewall, autorizando o acesso à porta UDP Se todas as rotas pré configuradas na IPBRICK são resolvidas pelo DNS, elas estarão autorizadas e não carecem da criação de nunhuma regra adicional. Mas se o DNS não as resolve, será necessário adicionar uma regra na firewall a autorizar o acesso à porta 5090/UDP (Figura 2). Por favor tenha em conta que, o acesso de todos os telefones remotos está, à partida, bloqueado pela firewall e será necessário a criação de regras adicionais na mesma para abrir o acesso à porta 5090/UDP. Recomendamos que utilize VPNs. Todas as passwords devem obedecer às novas políticas de segurança: Minimum number of characters: 8 Cannot contain the phone s name. Must contain elements of at least three of the following four groups of characters: Uppercase letters (A through Z) Lowercase letters (a through z) Numbers (0 through 9) Special characters (such as!,$,%,#) NOTA IMPORTANTE: Se os seus telefones são configurados por autoprovisionamento, tudo o que necessita fazer, após alterar as passwords, é reiniciar os seus telefones. Mas, se por outro lado, eles não estão confugurados desta forma, terá de individualmente alterar as passwords e reiniciar os seus telefones. 2.1 Master/Slave e Master/Cliente If your machine operates under a master/slave or master/client typology you must first install the update_11-v5.3 package at the master server. If you install it first on the slave or client server you will get an error message (Figure 1) stating that you must first install the deb package at the master server, only after may you install it at the slave or client server. 5

6 Figura 1: Aviso de instalação Slave/Cliente 3 Resolução de Problemas 3.1 Os telefones remotos não conseguem se registar Depois de instalar o update_11-v5.3 a porta 5090 / UDP é bloqueada pela firewall. Como os telefones remotos utilizam esta porta para se registarem, é natural que o não consigam fazer. Para resolver esta situação escolha uma das seguintes opções: Se o telefone remoto está por trás de um acesso à internet com IP estático, deve ser inserida uma regra na firewall de forma a aceitar tráfego vindo desse IP à porta de destino 5090/UDP (Figura 2). Se o telefone remoto está por trás de um acesso à internet, com IP dinâmico, use, quando possível, um túnel VPN. Se este não for possível, terá de inserir uma regra na firewall de forma a aceitar tráfego para a porta UDP 5090, a partir de qualquer localização. Neste caso, deverá aceitar apenas a rede de onde o telefone remoto se regista (Figura 3). 3.2 Não consegue efetuar chamadas via rota SIP Se não conseguir efetuar chamadas SIP, será necessário verificar se o IP da rota está autorizado pela firewall. Se não estiver, terá de inserir uma nova regra permitindo o acesso à porta UDP Quando a rota SIP está configurada com um hostname, será necessário identificar qual o IP atribuído. Estes IPs terão de ter regras inseridas na firewall 6

7 permitindo o acesso à porta UDP Sempre que criar uma nova rota SIP certifique-se que o acesso é permitido, adicionando para isso uma regra firewall. 3.3 Não é possível enviar FAX por IP Rotas FoIP-SIP e FoIP-T38 Se não consegue enviar FAXES por IP, será necessário verificar se o endereço IP da rota está autorizado pela firewall. Se não estiver, terá de inserir uma regra permitindo o acesso à porta UDP Sempre que criar uma nova rota de FAX certifique-se que o acesso é permitido, adicionando para isso uma regra firewall. 4 Exemplos Práticos - Inserir uma Regra Firewall 4.1 Regra Firewall para um IP No interface IPBRICK aceda a: Configuraç~oes Avançadas > Rede > Firewall nsira uma nova regra, como apresentado na Figura 2. NOTA: O endereço IP de rede, patente na imagem, serve apenas como exemplo. Deverá substitui-lo por um que se adeque ao seu cenário. 7

8 Figura 2: Exemplo 1 - Inserção de regra na Firewall - Para um IP 4.2 Regra Firewall para uma Rede No interface IPBRICK aceda a: Configuraç~oes Avançadas > Rede > Firewall Insira uma nova regra, como está apresentado na Figura 3. NOTA: O endereço IP de rede, patente na imagem, serve apenas como exemplo. Deverá substitui-lo por um que se adeque ao seu cenário. 8

9 Figura 3: Exemplo 2 - Inserção de regra na Firewall - Para uma rede 9