По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Привет! Сегодня в статье мы рассмотрим базовую настройку IP-АТС компании Cisco – CME – Call Manager Express, или как теперь он называемся Cisco Unified Communications Manager Express – CUCME. Также мы покажем как зарегистрировать телефоны, работающие по протоколам SCCP и SIP.
Чтобы понять, что необходимо настроить, рассмотрим, что происходит во время загрузки телефона. Процесс загрузки IP-телефона Cisco можно разделить на несколько этапов:
Телефон получает питание по Ethernet кабелю используя PoE (Power over Ethernet 802.3af), либо через блок питания;
Коммутатор присылает информацию о голосовом VLAN’e, используя протокол CDP (Cisco Discovery Protocol);
Телефон высылает DHCP запрос в голосовой VLAN, а в ответ DHCP сервер присылает информацию о IP адресации, включая DHCP Option 150, где указан адрес TFTP сервера;
Телефон связывается с TFTP сервером и скачивает конфигурационный файл и прошивку. В конфигурационном файле находятся данные об адресе и номере порта CME, а также название прошивки, которую он должен использовать. При первом подключении он отсутствует, и телефон скачивает файл по умолчанию XMLDefault.cnf.xml;
На основании IP адреса, указанного в конфигурационном файле телефон связывается с сервером обработки вызовов (в нашем случае это CME);
Теперь можем приступать к настройке оборудования.
Настройка voice VLAN
Чтобы разделить голосовой трафик и трафик с данными необходимо настроить голосовой VLAN на каждом порту коммутатора, который соединяется с IP телефонами.
switch#conf t – переход в режим конфигурации
switch(config)#interface fa0/1 – переход в режим конфигурации интерфейса
switch(config-if)#switchport mode access – настройка порта в качестве access
switch(config-if)#switchport voice vlan 100 – создание голосового VLAN с id 100
switch(config-if)#switchport access vlan 200 – создание VLAN данных с id 200
switch(config-if)#spanning-tree portfast – включение протокола STP
Настройка DHCP
Теперь необходимо настроить роутер Cisco как DHCP сервер для голосового VLAN. Команда Option 150 используется для указания адреса TFTP сервера, где хранятся конфигурационные файлы и прошивки.
router#ip dhcp pool VOICE – создание DHCP пула
router(dhcp-config)#network 192.168.1.0 255.255.255.0 – выделение подсети
router(dhcp-config)#default-router 192.168.1.1 – default gateway
router(dhcp-config)#option 150 192.168.1.1 – адрес TFTP сервера
router(dhcp-config)#dns-server 4.2.2.2 – адрес DNS сервера
Настройка NTP
Перейдем к настойке времени c использованием протокола NTP, при помощи которого мы сможем выставить корректные дату и время на всех телефонах.
router#conf t
router(config)#ntp server 64.209.210.20 – указываем адрес NTP сервера
router(config)#clock timezone MSK 3 – указываем временную зону
Настройка TFTP
Хотя маршрутизаторы Cisco можно использовать в качестве TFTP сервера, стоит заметить что для больших телефонных сетей лучше иметь отдельный TFTP сервер, поскольку файлы прошивки и конфигурации могут быстро заполнить всю доступную flash-память.
При использовании маршрутизатора в роли TFTP сервера необходимо вручную указать все файлы для скачивания, которые мы поместили во flash-памяти.
В нашем примере файлы находятся в папке phone/7940-7960/
router#conf t
router(config)#tftp-server flash:/phone/7940-7960/P00308000500.bin alias P00308000500.bin
router(config)#tftp-server flash:/phone/7940-7960/P00308000500.loads alias P00308000500.loads
router(config)#tftp-server flash:/phone/7940-7960/P00308000500.sb2 alias P00308000500.sb2
router(config)#tftp-server flash:/phone/7940-7960/P00308000500.sbn alias P00308000500.sbn
Здесь в команде tftp-server после alias указываем название файла прошивки, который будет запрашивать телефон, поскольку телефон не знает полный путь до файла, а запрашивает его только по названию.
Базовые настройки CME и регистрация телефонов
Теперь настроим необходимые параметры IP Source Address, Max-DN (Directory Number) и Max-Ephones для работы с протоколом SCCP.
router(config)#telephony-service – режим настройки телефонии
router(config-telepony)#ip source-address 192.168.1.1 – адрес, на который должны приходить запросы на регистрацию от телефонов
router(config-telepony)#max-ephones 24 – максимальное количество поддерживаемых телефонов
router(config-telepony)#max-dn 48 – максимальное количество поддерживаемых номеров
Параметры max-ephones и max-dn напрямую влияют на объем памяти, которую резервирует маршрутизатор для поддержки службы CME. При установке значения намного выше, чем необходимо, система может резервировать чрезмерные ресурсы и влиять на другие сетевые службы. Кроме того, параметр max-ephones не должен превышать количество приобретенных лицензий на функции.
После этого телефоны начнут процесс регистрации. Проверить статус регистрации можно командой show ephone summary
Настройка Ephone и Ephone-DN
Для начала попробуем разобраться, что это такое и в чем их отличие. Ephone можно представить в качестве физического телефона с MAC адресом, а Ephone-DN в качестве телефонного номера, который мы связываем с телефонным аппаратом.
Создадим номер Ephone-DN с номером 101:
router#conf t
router(config)#ephone-dn 1 – создание номера
router(config-ephone-dn)#number 101 – указываем номер
router(config-ephone-dn)#description Alexey Dobronravov – описание в CME
router(config-ephone-dn)#name Alexey Dobronravov – описание на телефоне
Теперь создадим Ephone и свяжем его с реальным телефоном по MAC-адресу:
router#conf t
router(config)#ephone 1 – создание образа телефона
router(config-ephone)#mac-address 0014.1c48.acb1 – указываем MAC-адрес
router(config-ephone)#button 1:1 – привязываем номер к аппарату
Мы привязываем номер к телефону на его физические кнопки, которые обычно находятся возле экрана. На них как раз можно привязывать линии, и телефон может одновременно несколько номеров. Синтаксис команды через которую идет привязка телефона выглядит как button [физическая кнопка] : [ephone-dn] . Таким образом, в примере мы привязали первой кнопке на телефоне созданный нами номер ephone-dn 1.
Теперь можем подключать наш телефон к сети, он пройдет все шаги загрузки и зарегистрируется на нашем CME. Таким же образом настраиваем другие телефоны и номера, после чего мы сможем совершать звонки между телефонами. Проверить статус телефона можно командой show ephone.
Регистрация SIP телефона
Теперь настроим CME для работы с телефонами по протоколу SIP. Первым делом разрешим звонки между SIP телефонами:
router#conf t
router(config)#voice service voip
router(config-voice)#allow-connections sip to sip
Настраиваем период регистрации телефонов (число – это время в секундах, по умолчанию 3600):
router#conf t
router(config)#voice service voip
router(config-voice)#registrar server expires max 3600 min 3600
Создаем класс кодеков, в котором указываем кодеки, которые будут использованы:
router#conf t
router(config)#voice class codec 1
router(config-voice)#codec preference 1 g711alaw - кодек первого приоритета
router(config-voice)#codec preference 1 g711ulaw - кодек второго приоритета
router(config-voice)#codec preference 1 g729br8 - кодек третьего приоритета
Создаем DN:
router#conf t
router(config)#voice register dn 1 – создаем DN
router(config-voice-register-dn)#number 201 – указываем номер
Настраиваем телефон:
router#conf t
router(config)#voice register pool 1
router(config-voice-register-pool)#id mac 0014.1c48.acb2 – указываем MAC телефона
router(config-voice-register-pool)#number 1 dn 1 – привязываем номер к первой линии
router(config-voice-register-pool)#voice-class codec 1 – используем созданный нами набор кодеков
router(config-voice-register-pool)#username admin password pass – создаем аутентификационные данные
После этого подключаем SIP телефон к сети и заходим по его веб-интерфейс черз бразуер по IP-адресу, находим настройки первой линии, где указываем адрес сервера 192.168.1.1 и логин с паролем admin/password, которые мы создали.
Теперь таким образом можно регистрировать SIP телефоны на CME.
В последние несколько лет всё чаще появляется информация об очередных хакерских атаках, направленных на сетевое оборудование различных производителей. И если оборудование класса Enterprise, такое как Cisco, Juniper, Extreme, HP и так далее, обычно обслуживается армией высококвалифицированных специалистов, которые постоянно проводят обновления и закрывают “дыры”, то с оборудованием класса SOHO (MikroTik, Netgear, TP-Link, Lynksys) дела, зачастую, обстоят совсем иначе. А ведь недостаточное внимание, уделяемое сетевому оборудованию, может нанести вред любому бизнесу.
В данной статье мы хотим рассказать о ещё одном крайне действенном способе защиты оборудования MikroTik, которое не потребует о вас больших усилий в настройке и будет само автоматически обновлять свою конфигурацию без вашего вмешательства.
Предыстория
В конце марта 2018 года появилась информация о хакерской активности, которая как раз направлена на SOHO сегмент. В частности – на роутеры MikroTik под управлением RouterOS ниже версии v6.38.5. Суть заключалась в том, что некий хакерский ботнет сканировал множество публичных IP-адресов на предмет открытых портов 80 (www) и 8291 (WinBox), чтобы по ответам оборудования определить, что это RouterOS, а также выяснить его версию. Тогда производитель заявил, что уязвимость реализации протокола www (80), которую можно было бы использовать, была закрыта ещё в марте 2017 версией v6.38.5 и рекомендовал всем обновиться, а также отключить небезопасный сервис www. Нужно отметить, что ботнет только собирал информацию, никаких атак не предпринималось.
Внимание! Если на вашем роутере MikroTik установлена версия прошивки ниже v6.38.5, мы рекомендуем незамедлительно произвести обновление до последней актуальной версии. Как это сделать, вы можете почитать в нашей статье. Также, рекомендуем закрыть сервис www и настроить доступ к WinBox только с доверенных IP-адресов более подробно о том как это сделать читайте здесь.
А совсем недавно на сайте подразделения Cisco, которое занимается кибербезопасностью - Talos, появилась информация о вредоносном программном обеспечении, которое использует ту самую уязвимость. Оно получило название VPNFilter, хоть и не имеет ничего общего с VPN туннелями. Вероятно потому, что после заражения оно создаёт директории /var/run/vpnfilterw и /var/run/vpnfilterm для дальнейшей работы.
По самым поверхностным оценкам, вредонос способен красть пользовательские данные и данные вэб-приложений, устанавливать без ведома пользователя модули, которые взаимодействуют с серверами в сети Tor, а также полностью выводить оборудования из строя посредством изменения критически важных файлов прошивки. До конца вредонос ещё не изучен и актуальные данные по нему всё ещё поступают. Пока известно о том, что уязвимости подвержено всего 3 модели оборудования MikroTik -1016, 1036 и 1072, но защитить другие модели будет не лишним.
Настройка
Итак, перейдём собственно к тому самому универсальному методу защиты, о котором мы упомянули вначале. Данный метод основан на простом блокировании заведомо вредоносных IP-адресов, которые были замечены в подозрительной активности (сканнирование, брутфорс, неудачные попытки доступа к различным сервисам) но только не вручную, а в автоматическом режиме. Существует много открытых ресурсов, которые собирают информацию о таких “чёрных” IP-адресах и генерируют актуальные списки, которые мы можем просто загружать на наш роутер с помощью нехитрого скрипта.
К таким ресурсам относятся:
Blocklist.DE - бесплатный открытый ресурс, созданный специалистами, чьи сервера часто подвергаются различного рода атакам, таким как атаки ssh, почтовых и файловых сервисов, вэб-серверов и другое. IP-адреса атакующих заносятся в список и выкладываются в общий доступ;
dshield.org - генерирует списки из топ-20 подсетей, из которых за последние 3-е суток совершалось наибольшее число атак;
Spamhaus - генерирует списки IP-адресов, замеченных в “спаммерской” активности, а также “угнанных” устройств, с помощью которых также осуществляется вредоносная деятельность;
Итак, чтобы нам заблокировать адреса из этих списков, нужно сначала создать блокирующее правило на нашем роутере. Для этого подключаемся к нашему MikroTik и даём в консоль следующие команды:
ip firewall raw add chain=prerouting src-address-list="sbl dshield" action=drop comment="sbl dshield"
ip firewall raw add chain=prerouting src-address-list="sbl spamhaus" action=drop comment="sbl spamhaus"
ip firewall raw add chain=prerouting src-address-list="sbl blocklist.de" action=drop comment="sbl blocklist.de"
Тем самым, мы создали 3 правила, которые будут блокировать подключения к нашему роутеру из списков каждого ресурса соответственно – dshield, spamhaus и blocklist.de.
Теперь нужно настроить автоматический загрузчик, который будет обращаться на данные ресурсы за актуальными списками и загружать их в конфигурацию роутера. Для этого через WinBox откроем вкладку System → Sheduler → +
И создадим задачу на проверку обновления списков вредоносных ресурсов начиная с полуночи следующего числа каждые 12 часов. Обращение будет происходить посредством простого http запроса к ресурсу www.squidblacklist.org/downloads/drop.malicious.rsc. Для этого в поле On Event напишем простой скрипт:
/tool fetch address=www.squidblacklist.org host=www.squidblacklist.org mode=http src-path=/downloads/drop.malicious.rsc
Мы будем обращаться к ресурсу www.squidblacklist.org, потому что его специалисты любезно скомпоновали списки с dshield, spamhaus и blocklist.de в одном месте и нам не придётся писать скрипт обращения для каждого ресурса.
Должно получиться как то так:
Теперь создадим ещё одну задачу на импорт списка в конфигурацию роутера, спустя минуту после того, как отработает проверка актуальности списков из первой задачи. На этот раз в поле On Event напишем:
:log warning "Disabling system Logging";
import drop.malicious.rsc
/system logging enable 0
Теперь наш роутер будет автоматически запрашивать актуальные списки вредоносных IP-адресов и добавлять их в блок. Вы так же можете использовать другие открытые ресурсы, на которых публикуются списки опасных IP-адресов.
Дело в том, что если вы не используете какие либо сетевые сервисы (такие как NFS доступ, например) на своем Linux сервере, то скорее всего portmapper вам не нужен.
А чтобы окончательно уверить вас в том, чтобы выключить службу, вот вам факт: злоумышленники юзают сервис portmapper для увеличения эффекта DDoS-атак.
А теперь о том, как проверить portmapper на вашем сервере и отключить его.
Коротко о том, что делает portmapper
Портмаппер это специальный сервис в Linux, который обеспечивает службы RPC (Remote Procedure Call), такие как NFS - служба, например. Кстати говоря, portmapper обитатет на 111 порту (TCP и UDP).
RPC (Remote Procedure Call) - так называемый удаленный вызов процедур. Если кратко, это технология, позволяющая определенному софту вызывать функции и процедуры на других сетевых машинах
Как посмотреть RPC службы
Легко. Вы можете посмотреть список активных RPC - служб с помощью команды rpcinfo. Вот так:
[root@merionet ~]# rpcinfo -p
program vers proto port service
100000 4 tcp 111 portmapper
100000 3 tcp 111 portmapper
100000 2 tcp 111 portmapper
100000 4 udp 111 portmapper
100000 3 udp 111 portmapper
100000 2 udp 111 portmapper
У нас запущен только сам portmapper. Переходим к экзекуции.
Остановить portmapper in CentOS 7
Сервис, отвечающий за portmapper как правило называется rpcbind. Останавливаем службу и сокет, как показано ниже:
[root@merionet ~]# systemctl stop rpcbind
Warning: Stopping rpcbind.service, but it can still be activated by:
rpcbind.socket
[root@merionet ~]# systemctl stop rpcbind.socket
Полностью выключаем portmapper, даже после перезагрузки
Убедимся, что сервис тоже выключен:
[root@merionet ~]# systemctl disable rpcbind
А теперь контрольный в голову. Проверяем, что при попытке посмотреть информацию по rpc (команда )
[root@merionet ~]# rpcinfo -p
rpcinfo: can't contact portmapper: RPC: Remote system error - Connection refused
Готово. Теперь, ваш сервер стал чуточку безопаснее.