Открытие Elastix в наружу, как лучше сделать.

[malench]

До сегодня хватало внутри сетки, буду открывать в наружу.

На убунту на виртуальной машине стоит Elastix.
Роутером выступает Mikrotik.

Про длинные пароли уже понял, и про то что поменять порты при выходе внаружу тоже.

Вопрос первый.
5060 понятно.
Неужели надо проборасывать такой большой диопазон портов 10000-20000? Может можно меньше, если больше 2-4 говорящих не будет из вне.


Вопрос второй.
Что посоветуете на микротике сделать. Честно читал про различные там аддоны дуб дерево, я сам не телефонист, проще на микротике что то сделать.

Вопрос третий.
Есть ли смысл покупать Anti-Hacker, кто то его покупал вроде 15 баксов недорого. Вроде на внешний вид простой.

[SVoy]

лучше не делать!

[malench]

Лучше вообще астериксом не заниматься. Спасибо.

[SVoy]

и Обеликсом тоже (друг Астерикса)..

[Aeooe]

VPN сети как вариант. либо fail2ban. Но секурнее vpn сети на мой взгляд)

[Aeooe]

Вопрос первый.
5060 понятно.
Неужели надо проборасывать такой большой диопазон портов 10000-20000? Может можно меньше, если больше 2-4 говорящих не будет из вне.

Если не ошибаюсь, то для одного соединения из вне нужно 2 порта RTP. Соответсвенно для 4-х одновременных звонков 8-мь портов. Поправьте если не архимед =)

[malench]

лучше не делать!

Спасибо за помощь, вы случайно не на женском форуме на посты отвечаете?
====
Лучше не делать.
====
Обеликсы....
====
Вы прям находка для форума. По вашим постам сразу чувствуется ваш уровень в IP телефонии..
А главное желание помочь.
Я же вопросы написал, для начинающих.

[malench]

VPN сети как вариант. либо fail2ban. Но секурнее vpn сети на мой взгляд)


Тоже об этом читал, но чувствую что надо будет делать опытным путем. Так как другие молчат.

[malench]

VPN сети как вариант. либо fail2ban. Но секурнее vpn сети на мой взгляд)

VPN понятно, но это дополнительный софт, если вставить пароль из 30 символов это спасет?
Или есть варианты как это можно ломануть по другому обходя пароли юзеров?

[Sfinx]

- не юзать centos
- не юзать elastix
- не юзать web/php/mysql и прочую, бл#дь как популярную, но несекурную херню
- включить в системе SELinux/audit, или использовать ту в которой это включено по определению
- поменять SIP порт и далее [желательно] менять/открывать его для клиентов по заданному шифро-алгоритму
- применить все советы по SIP DDoS для iptables если порт все-таки 5060
- нанять толкового админа

мож чего забыл ? ...