Asterisk nur für Deutschland zugänglich machen

[s50en]

Hallo,

habe derzeit einen Lokalen Asterisk v1.6 ohne zugriff von der Ausenwelt, da keine Portfreigaben eingerichtet. Der Asterisk ist nur mit dem Sipgateserver verbunden und sonst nur Lokal. Dies möchte ich ändern. Sprich von "Außen" mit dem Iphone auf den Server zugreifen. Nun habe ich Sicherheitsbedenken, da einige hier im Forum von Hackerzugriffen sprechen. Nun ist meine Idee, da alle im Forum genannten Hackerangriffe aus dem Ausland kommen, ausländische IPs komplett zu sperren. Ist dies möglich ? und wie kommen diese Hacker überhaupt auf die Ip-Adressen der Server ? findet der Hacker den Server auch wenn ein anderer Sip-Port benutzt wird ?benutze als Betriebsystem Debian-lenny

grüße s50en

 

[PsychoMantis]

Das ist eine sehr gute Idee *Threadaboniert*.
Mein Server wurde heute wieder mal angegriffen (von 200.73.64.38). Es läuft immer nach dem selben Schema ab: Erst wird nach extensions gesucht von 1 bis 9999 und dann werden für die paar, die gefunden wurden Passwörter ausprobiert.
Für file2ban war ich zu dumm. Am liebsten würde ich echt alle ausländischen IPs sperren und nur deutsche zulassen.
Am aller liebsten wäre mir eine option in der sip.conf, wo man einstellen darf wieviele Versuche pro Zeiteinheit stattfinden dürfen.

 

[s50en]

Wie kommen diese Hacker auf diese IP-Bereiche ? Bin ich als KabelBw user weniger betroffen ? da die warscheinlichkeit das hier jemand einen Server betreibt sehr gering ist?

 

[Chatty]

Wenn du nur dein iPhone zulassen willst, dann arbeite doch mit einer Whitelist. Kann ja nicht so schwer sein für deinen Provider die IP-Ranges zu testen.

 

[s50en]

Dies ist nicht so einfach da ich nur in Gebieten mit Wlan abdeckung voipnutzen werde -sprich andere ip Netze . Deshalb kam mir die Idee mit den deutschen ips.

 

[gandalf94305]

Es gibt eine Reihe von DNSBL für Länder, z.B. http://georbl.info/how-to-use/ oder http://noc.bit.nl/dnsbl/ascc/ oder http://www.team-cymru.org/Services/ip-to-asn.html

Der letzte Link enthält eine Liste von Download-Links für die IP-Allocations, nach denen man auch selbst die IP-Adressbereiche identifizieren könnte. Mit einer dynamischen DNSBL-Methode wäre ein Lookup pro Peer erforderlich. Werden die Dateien z.B. wöchentlich lokal von den NCC kopiert, so könnte man auf dieser Basis eine Whitelist erstellen.

Vorsicht jedoch: es gibt ein paar Provider, die zwar in DE registriert sind, jedoch in Wirklichkeit in RU oder UA sitzen... außerdem gibt es eine Reihe internationaler Firmen, deren Netzwerke z.B. in US registriert sind, jedoch auch Teilnetze in DE unterhalten (z.B. HP, IBM, ...).

--gandalf.

 

[Felko]

Nun habe ich Sicherheitsbedenken

Hier gibt es ausführliche Anregungen:
http://www.ip-phone-forum.de/showthread.php?t=221187