Block WAN requests is ON

[sasha300]

Приветствую!
В логах вижу:
"SIP Server/Call Manager ID: 12291
SIP request (REGISTER) from 188.161.2.94 was rejected. Reason: Block WAN requests is ON.
Message:
REGISTER sip:192.168.0.18:5060 SIP/2.0
Via: SIP/2.0/UDP 188.161.2.94:24638;branch=z9hG4bK-d87543-244408911-1--d87543-;rport=24638
Max-Forwards: 70
Contact: <sip:[email protected]:24638>
To: <sip:[email protected]:5060>
From: <sip:[email protected]:5060>;tag=ef429741
Call-ID: 1912ac74b7581866
CSeq: 2 REGISTER
Expires: 3600
Allow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER, NOTIFY, MESSAGE, SUBSCRIBE, INFO
Proxy-Authorization: Digest username="888",realm="3CXPhoneSystem",nonce="414d535959ce814961:7528646f880d9353fd680c42ee61361e",uri="sip:109.195.94.52",response="9f53eb289690eda0c2d83f79262a820c",algorithm=MD5
User-Agent: eyeBeam release 3007n stamp 17816
Content-Length: 0 "

в другом логе тоже самое, только SIP request (REGISTER) from 188.161.9.14

Как понял, бот брутфорсит АТС?
Если так, то может имеет смысл сменить 5060 на другой порт, или уменьшить количество неудачных попыток авторизации с 25 до 3 секунд?
http://i89.fastpic.ru/big/2017/1003/06/8bebf8480c339a684ef883eb0f279306.jpg
Что посоветуете?

 

[igorsnezhko]

Не стоит. Гораздо надежнее открыть на сетевом экране порт 5060 только для тех IP, с которыми он коммуницирует. Как правило, это SIP провайдеры. Для подключения удаленных клиентов лучше использовать софтфоны 3CX с интегрированным туннелем. Если очень нужно подключать аппаратные телефоны, тогда есть варианты VPN, 3CX SBC, ну или хитрые правила на сетевом экране, например, как описано тут https://forum.mikrotik.com/viewtopic.php?t=79575

 

[sasha300]

>Для подключения удаленных клиентов лучше использовать софтфоны 3CX с интегрированным туннелем
Не понял, т.е. тот же самый 3CX клиент на андройде не использует 5060 порт? Он ему до лампочки?
Ну ок, а через туннель не могут брутфорсить?

 

[igorsnezhko]

Да, при подключении из публичной сети, клиенты 3CX используют собственную защищенную технологию 3CX Tunnel как раз для повышения безопасности и других плезных вещей https://www.3cx.ru/docs/3cx-tunnel-session-border-controller/
Для ее работу нужны только порты 5090 TCP/UDP и 5001 TCP + автонастроенный клиент (не вручную!).

 

[sasha300]

>Для ее работу нужны только порты 5090 TCP/UDP и 5001 TCP
5090 порт это для тунеля, а 5001 tcp это ведь для https, нет ли? У меня 5001 TCP закрыт, но все прекрасно работает. В чем тогда прикол?
И порты с 9000 по 9500 по udp протоколу для 3cx клиентов не надо открывать?
У меня сейчас так:
http://i91.fastpic.ru/big/2017/1003/de/6d8068068b9b50f108ce6dbc26d645de.jpg

 

[sasha300]

про RTP вопрос снят, так как " 3CX Tunnel с помощью фирменного протокола объединяет SIP (сигнальный) и RTP (медиа) трафик в один зашифрованный TCP поток" с этим все понятно, остается вопроc про 5001 TCP

 

[igorsnezhko]

5001 - это для передачи функций UC - статусов, истории вызовов и т.п.

 

[sasha300]

Все понял, спасибо за исчерпывающий комментарий!

 

[sasha300]

Приветствую!
Сделал доступными только 5090 tcp/udp и 5001 tcp порты, вся система работала безупречно, но один из клиентов оказался заблокированным:

SIP Server/Call Manager ID: 12291
SIP request (SUBSCRIBE) from 176.59.11.59 was rejected. Reason: Block WAN requests is ON.
Message:
SUBSCRIBE sip:210@мой_домен.3cx.ru SIP/2.0
Via: SIP/2.0/UDP 10.96.147.61:40833;rport=40833;branch=z9hG4bKPjk5WrELIuaOYwQWV7CaeoHllrHtbu0WE9;received=176.59.11.59
Max-Forwards: 70
Contact: "Лапшов" <sip:[email protected]:50195;transport=TCP;inst="f8f43509";rinstance=1-4gim8agrdlpeshqivchz0abdb2inluoe;ob>
To: "Лапшов" <sip:210@мой_домен.3cx.ru>
From: "Лапшов" <sip:210@мой_домен.3cx.ru>;tag=xEqUPcjC7b-Yor9MhQFCyoXHSDz5y74Z
Call-ID: NzA-er7toXtj0vT6kpH0kDyQeK2YSApm
CSeq: 7747 SUBSCRIBE
Expires: 0
Accept: application/simple-message-summary
Proxy-Authorization: Digest username="ct9b79n",realm="3CXPhoneSystem",nonce="414d535959d392b738:ce28e1efab53426961b63d427a261ada",uri="sip:210@мой_домен.3cx.ru",response="c95de31436b9cdddd27b98da51b7fd25",algorithm=MD5
Supported: replaces, 100rel, timer, norefersub
Event: message-summary
Allow-Events: presence, message-summary, refer
Content-Length: 0

Из-за чего такое могло произойти?
Ну и вдобавок: безопасно ли выкладывать инфу в общий доступ как branch, rinstance, Call-ID и прочее?

 

[igorsnezhko]

Попробуйте удалить настройки клиента и настроить его через автонастройку. Главное - не выкладывать пароли и защитить периметр сети сетевым экраном.

 

[sasha300]

>и настроить его через автонастройку
Так в том-то и прикол, что 3cx андройд клиент настроен через конфигурационный файл. Но у этого товарища слабый телефон, может он не справляется с 3cx клиентом?