Sicherheitskonzept für externe VOIP Telefonie (zur Hauptniederlassung mit VOIP TK Anlage)

[Dirk-HH-83 14]

Hallo,

 

5-Ein-Mann-Aussenstellen (mit fester statischer IP)  sollen jeweils ein Büro VOIP Telefon bekommen.

In der Hauptniederlassung gibt es eine VOIP TK Anlage (SIP Accounts beim Provider, meines Wissens nach kein SIP TRUNK)

 

Frage:  wieso möchte die Telefonfirma die Telefone über VPN Tunnel mit der Hauptniederlassungen verbinden?

 

VOIP ist doch persé auch verschlüsselt.

 

Das die TK Anlage in der Hauptniederlassung eingehend nicht von x-beliebigen externen dynamischen IPs ansprechbar sein sollte ist klar.

 

Danke, gruß dirk

[zahni 587]

Seit wann ist VOIP  denn verschlüsselt? VOIP ist nur dann verschlüsselt, wenn SRTP verwendet wird. Nichtmal die Telekom hat das gemacht. Wobei es sein, kann, dass die Telekom langsam umstellt.

 

http://blog.auerswald.de/voip-srtp-verschlusseln-funktion/

 

Internes  VOIP gehört in einen VPN-Tunnel.

[DocData 85]

Jaa, mach mal die SIP Ports von außen auf. Mal sehen wie schnell die Anlage down ist...

[Dirk-HH-83 14]

Ok, wenn man die SIP Ports

eingehend nur für fünf bestimmte externe feste IPs öffnet und z.B. die Mac-Adresse des Telefon spezifizieren kann 

und maximalen Anmeldeversuche einschränken kann.   (dann wäre es wohl nur ein Workaround)

Danke für die Infos.

bearbeitet 13. April 2017 von Dirk-HH-83

[zahni 587]

Habe noch was gefunden:

 

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Internetsicherheit/isi_voip_leitlinie_pdf.pdf?__blob=publicationFile

 

Gibt es eigentliche Telefone mit eingebautem IPSEC-Client?

[DocData 85]

Ok, wenn man die SIP Ports

eingehend nur für fünf bestimmte externe feste IPs öffnet und z.B. die Mac-Adresse des Telefon spezifizieren kann 

und maximalen Anmeldeversuche einschränken kann.   (dann wäre es wohl nur ein Workaround)

Danke für die Infos.

 

Und du glaubst das sind Hindernisse??

[Dirk-HH-83 14]

WIeso sollten zufällige Port-Scans der Hacker/Bots aufmerksam werden, wenn die Telefonanlage für bestimmte IPs erreichbar ist?

 

 

Wenn gezielt eine Telefonanlage geknackt werden soll, dann ist mein o.g. Workaround natürlich b***d.

bearbeitet 13. April 2017 von Dirk-HH-83

[DocData 85]

Weil das Netz nach SIP abscannern der letzte heiße Scheiß ist.

[zahni 587]

@Dirk,

 

Nimm einfach unsere Hinwiese z.K.  Wenn Du es anders machen willst, bitte. Nur werden wir dabei nicht  helfen, Auch wenn Du wiederholt das  Gleiche fragst...

[Dukel 468]

Neben der Sicherheitsproblematik macht SIP mit NAT kein Spaß. Daher ist es einfacher, wenn alle Geräte im gleichen Netz sind -> VPN.

[zahni 587]

Stimmt, da war noch was mit den dynamischen UDP-Ports...

[XP-Fan 234]

Hi,

 

Gibt es eigentliche Telefone mit eingebautem IPSEC-Client?

 

es gibt auf jeden Fall Telefone mit SSL VPN Client . :)