блокировка IP Too many failed authentications!

[vit11213]

Добрый день.

3СХ PRO 18.0 Update 6 сборка 908

7 февраля обновился с 18.0.5 на 18.0.6.

Начиная с 11 февраля начали валится сообщения вида "The IP ........... has been blacklisted for 8640000 sec. (Expires at: 2023/05/25 10:43:17). Reason: Too many failed authentications!"
Пример email :
"
IP 128.90.61.172 на АТС ...... заблокирован до: 2023/05/25 11:32:33.
Заблокировавший модуль: SIP Server
User agent: Cisco[space]SPA

Причина: Too many failed authentications!
IP-адрес 128.90.61.172 делал множественные попытки аутентификации на 3CX с неверными учетными данными. Поэтому 3CX создала правило, блокирующее все запросы с этого IP.
"

IP разные , причина одна.

До этого АТС годами работала , ни разу таких сообщений не получал.

На firewall у меня изначально подключение на порт 5060 было разрешено только со стороны провайдеров, которые предоставляют транки.
Кроме этого прописаны порты
3CX Tunneling Proxy - 5090
3CX Media Server - 9000-9398
3CX Media Server 2 - 10600-10998

Правила на firewall
на 5060 разрешено только со стороны провайдеров
на остальные 5090, 9000-9398, 10600-10998 - откуда угодно
остальной трафик блокируется

Ок , поменял
на 5060, 5090 только со стороны провайдеров
9000-9398, 10600-10998 - откуда угодно

Проверил различными онлайн сканерами портов - извне подключение на 5060, 5090 - закрыты.

И тем не менее все равно АТС продолжает блокировать какие то IP по причине Too many failed authentications!

В логах на firewall эти IP вообще не фиксируются.

Вопрос : откуда это все сыпется , если 5060 и 5090 порты заблокированы извне, трафика по указанным IP на firewall нет.

Пример IP 128.90.172.113 , 128.90.60.216 , 128.90.171.180 ...

 

[vit11213]

Отбой, разобрался.

Надо быть очень осторожным с галкой "полный конус NAT" в Kerio .
В одном из правил выставил эту галку в рамках отладки и забыл снять. По этому правилу стали проходить входящие соединения на порт 5060.

 

[igorsnezhko]

У вас из внутренней сети телефон Cisco SPA вероятно долбит?

 

[OlegOLP]

у нас некоторые АТС по десятку за день хватают таких блокировок. так что это практически нормально.

 

[vit11213]

У вас из внутренней сети телефон Cisco SPA вероятно долбит?

Нет , у меня нет телефонов Cisco , а IP которые блокировались явно внешние.

Тут оказалось именно настройка Kerio виновата.
В Kerio логирование надо включать отдельно для каждого правила. Изначально я все логировал для всех правил на входящий из Интернета трафик плюс пробовал подключится к 5060 извне и не мог понять в чем дело, потому что 5060 был закрыт для подключения , а в логах Kerio не было IP, которые блокировала АТС.
Решил на Kerio включить логирование и для исходящих из локалки в Интернет правил. И тут же увидел в логах эти входящие из Интернета подключения. А проходили они по правилу NAT, через которое АТС ходит в Интернет. Если в этом правиле стоит галка "полный конусный NAT " , то по этому правилу , которое вообще то регулирует исходящие подключения от АТС в Интернет, становятся возможны и входящие извне подключения с любых источников.
Убрал галку "полный конусный NAT" и тут же увидел в логах, что подключения на 5060 начали блокироваться, АТС тоже перестала добавлять в блок новые IP.