По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Для того, чтобы стать полноценным администратором Asterisk, вам необходимо уметь администрировать операционную систему IP – АТС. О том, как заботиться о своем Asterisk установленном на CentOS расскажем дальше.
Сменить SSH порт
Подключение и управление операционной системой CentOS осуществляется по протоколу SSH (Secure Shell), который позволяет безопасно производить операции на ОС удаленно. По умолчанию, протокол SSH работает на 22 порту. Чтобы подключиться к серверу IP – АТС, откройте программу SSH – клиент Putty, и в поле, указанном красным, введите IP – адрес или доменное имя вашего Asterisk
Мы рекомендуем сохранить подключение в программе. Для этого, в поле, выделенном оранжевым, укажите имя для подключения и нажмите Save
В целях повышения безопасности, вы можете его изменить следующим образом:
Входим в режим редактирования демона SSH
[root@localhost ~]# nano /etc/ssh/sshd_config
Ищем строчку, которая содержит запись #Port 22. Обычно она находится под текстовым баннером:
# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented. Uncommented options change a
# default value.
#Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::
Уберите символ # (решетку) в начале строчки и укажите номер порта, который вам необходим. Например, 7022
Port 7022
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::
Сохраните изменения. После успешного сохранения, выполните рестарт демона SSH:
[root@localhost ~]# /etc/init.d/sshd restart
Управление дисковым пространством
Если на вашем Asterisk включен функционал записи телефонных разговоров, то вам необходимо отслеживать свободное дисковое пространство. Мы рекомендуем прибегать в этом вопросе к автоматизации – написанию скриптов, которые будут удалять записи, старше определенного срока автоматически. Итак, перейдем к просмотру свободного дискового пространства.
Команда du выводит размер файлов и папок в директории, в которой вы находитесь на текущий момент:
[root@localhost ~]# du
1240 ./.mozilla/firefox/5r4h2uwt.default/gmp-gmpopenh264/1.5.3
1244 ./.mozilla/firefox/5r4h2uwt.default/gmp-gmpopenh264
4 ./.mozilla/firefox/5r4h2uwt.default/healthreport
Более удобным для человеческого восприятия является команда с флагом -h du -h, которая указывает размер файлов и папок в текущей директории с указанием приставки (K – килобайт, М – мегабайт и так далее.)
[root@localhost ~]# du -h
1.3M ./.mozilla/firefox/5r4h2uwt.default/gmp-gmpopenh264/1.5.3
1.3M ./.mozilla/firefox/5r4h2uwt.default/gmp-gmpopenh264
4.0K ./.mozilla/firefox/5r4h2uwt.default/healthreport
Наиболее «тяжелой» с точки зрения занимаемого пространства директорией в файловой структуре Asterisk является папка /var/spool/asterisk/, в которой находятся файлы голосовой почты, системы записи, факсы и так далее. Если мы хотим узнать размер папки, в которой мы храним файлы системы записи, то добавляем к конструкции du -h флаг s:
[root@localhost asterisk]# du -sh /var/spool/asterisk/monitor/
111M /var/spool/asterisk/monitor/
Отлично, с этим разобрались. Теперь нам надо научиться понимать размер наших дисков. Это гораздо проще – укажите команду df - h и система выведет все диски, с указанием свободного пространства, общего объема и процентной загрузки:
[root@localhost asterisk]# df -h
Filesystem Size Used Avail Use% Mounted on
/dev/sda2 146G 4.8G 134G 4% /
tmpfs 498M 72K 498M 1% /dev/shm
/dev/sda1 283M 25M 244M 10% /boot
Нужные команды файловой системы
Перечислим важные команды, которые пригодятся Вам в процессе администрирования вашего Asterisk:
ls - вывод списка файлов и папок в текущей директории
ls -l – более подробная модификация указанной выше команды. Помимо прочего, команда выводит в консоль права на файл и его владельца.
cd /var/spool/asterisk/monitor/ - сделать папку с записями телефонных разговоров текущей директорией.
cd .. - вернуться на одну папку назад по файловой иерархии
cd ../.. - вернуться на две директории обратно
cp index.php /var - скопировать файл index.php в директорию /var
cp index.php /var - переместить файл index.php в директорию /var
Время и настройка NTP
Для синхронизации серверного времени по протоколу NTP, выполните следующие команды:
service ntpd stop
ntpdate pool.ntp.org
service ntpd start
service httpd restart
Устанавливаем временную зоны сервера:
Подключитесь пользователем root к серверу и выполните команду date. Система укажет Вам текущую дату, время и временную зону.
[root@localhost ~]# date
echo date("D M j G:i:s T Y");
Измените текущую директорию с помощью команды cd /usr/share/zoneinfo. Далее выберите наиболее подходящий регион. Например, если вы из Самары, то перейдите в папку /Europe/Samara
Далее нужно создать линк настройки /etc/localtime. В случае с Самарой, команда будет такой: ln -sf /usr/share/zoneinfo/Europe/Samara /etc/localtime
Установим переменную ZONE в файле /etc/sysconfig/clock на Europe/Samara. Выполните следующие команды:
[root@localhost ~]# vim /etc/sysconfig/clock
В открывшемся файле для редактирования через vim нажмите клавишу «o» на клавиатуре. Стрелками сотрите содержимое файла и вставьте нужную временную зону, в нашем примере будет так : ZONE=Europe/Samara. Сохраните изменения нажав :x! и затем клавишу Enter.
Установите аппаратное время сервера командой /sbin/hwclock --systohc
Просмотр крупных файлов
tail /home/log.txt - вывод последних 10 строчек указанного файла. В данном случае файл /home/log.txt
tail -f /home/log.txt - вывод последних 10 строчек указанного файла. Если в файл будет динамически добавлены новые строки, это отразится в выводе команды в реальном времени
tail –n 100 /home/log.txt - вывод последних 100 строчек указанного файла.
tail –n 100 /home/log.txt > result.txt - данная команда запишет 100 последних строчек файла /home/log.txt в файл result.txt
Мы продолжаем обзор бюджетных решений сегмента SOHO (Small office/home office). Если в Вашем офисе установлен роутер ZyXEL последних поколений, то Вы можете расширить его функционал и сделать из него базовую станцию по стандарту DECT, к которой можно будет подключить 6 телефонных трубок и вести до 4 одновременных разговоров. Интересно? Тогда в статье расскажем, как настроить данный DECT модуль для ZyXEL Keenetic и интегрировать с IP – АТС Asterisk.
/p>
Настройка
Все очень просто – USB модуль для DECT подключается в соответствующий интерфейс роутера, после чего его необходимо перезагрузить. Далее в интерфейсе маршрутизатора появится опция настройки DECT – телефонии. Приступим к настройке. Открываем вкладку DECT – база:
Производим настройки следующих параметров:
Общие настройки
Включить DECT – базу - отметить галочкой
PIN-код регистрации трубок - пин - код, который пользователь будет вводить на трубке при регистрации.
Ожидание начала работы - время ожидания набора номера. Например, абонент нажал кнопку звонка и не ввел номер в течение указанного в данном поле времени. По его истечению он услышит короткие гудки.
Ожидание набора следующей цифры - при наборе номера, абоненту будет дано указанное в данном поле время на ввод одной цифры номера.
Параметры SIP
Имя агента пользователя - имя, которое будет подставляться в user agent в SIP сообщениях
Локальный UDP-порт SIP - порт, на котором роутер будет слушать SIP запросы, отправленные UDP транспортом
Локальный TCP-порт SIP - порт, на котором роутер будет слушать SIP запросы, отправленные TCP транспортом
Локальный TLS-порт SIP - порт, на котором роутер будет слушать SIP запросы, отправленные TLS (шифрование) транспортом
Диапазон портов RTP - UDP порты, на которых ZyXEL будет принимать/отправлять RTP потоки
Сервер STUN - если Ваш сервер IP – АТС находится за NAT от DECT устройства, укажите здесь его внешний адрес. Если внутри, укажите просто IP – адрес Asterisk
Приоритет кодеков - кодеки, которые будет использовать Keenetic. Проверьте, чтобы указанные здесь значения совпадали с кодеками на IP – АТС Asterisk.
Создаем внутренний номер на IP – АТС Asterisk с помощью графического интерфейса FreePBX 13. Переходим во вкладку Applications → Extensions и нажимаем Quick Create Extension. Создаем 101 номер.
С процессом создания внутреннего номера Вы можете более детально ознакомиться в статье по этой ссылке.
После успешного добавления, переходим во вкладку Телефонные линии через интернет на роутере и нажимаем добавить линию:
Включить линию - отметить галочкой
Название линии, SIP ID, Отображаемое имя, Логин - указываем созданный номер. В нашем случае это 101
Пароль - значение из поля secret в FreePBX.
Провайдер - выберите другой из пула доступных провайдеров телефонных услуг
Сервер регистрации SIP, Домен SIP, Прокси - сервер SIP - укажите IP – адрес IP – АТС Asterisk.
Важно: В новых версиях, по умолчанию, драйвер chan_sip функционирует на порту 5160. Если не указать порт, то DECT будет отправлять запросы на дефолтный порт 5060. Вы можете указать нужный IP:ПОРТ через двоеточие.
Остальные параметры можно оставить без изменений. Сохраняем настройки и видим, что наша 101 линия подключена:
Подключите трубку к DECT – базе с помощью пин – кода, который мы указывали в начале настройки. Далее, переходим в раздел DECT - трубки и для доступного производим настройки, через какую линию необходимо принимать и совершать звонки:
Тем самым, в итоге, у нас получится следующая картина:
Готово! Теперь можно принимать и совершать звонки:
Почитайте предыдущую статью про криптографический обмен ключами.
Предположим, вы хотите отправить большой текстовый файл или даже изображение, и позволить получателям подтвердить, что он исходит именно от вас. Что делать, если рассматриваемые данные очень большие? Или что, если данные нужно сжать для эффективной передачи? Существует естественный конфликт между криптографическими алгоритмами и сжатием. Криптографические алгоритмы пытаются произвести максимально случайный вывод, а алгоритмы сжатия пытаются воспользоваться преимуществом неслучайности данных для сжатия данных до меньшего размера. Или, возможно, вы хотите, чтобы информация была прочитана кем-либо, кто хочет ее прочитать, что означает, что не нужно ее шифровать, но вы хотите, чтобы получатели могли проверить, что вы ее передали.
Криптографические хэши предназначены для решения этих проблем. Возможно, вы уже заметили по крайней мере одно сходство между идеей хеширования и криптографического алгоритма. В частности, хэш предназначен для получения очень большого фрагмента данных и создания представления фиксированной длины, поэтому на выходе для широкого диапазона входных данных очень мало конфликтов. Это очень похоже на концепцию максимально близкого к случайному выходу для любого ввода, необходимого для криптографического алгоритма. Еще одно сходство, о котором стоит упомянуть, заключается в том, что хэш-алгоритмы и криптографические алгоритмы работают лучше с очень редко заполненным входным пространством.
Криптографический хеш просто заменяет обычную хеш-функцию криптографической функцией. В этом случае хэш может быть вычислен и отправлен вместе с данными.
Криптографические хэши могут использоваться либо с системами с симметричными ключами, либо с системами с открытым ключом, но обычно они используются с системами с открытым ключом.
Сокрытие информации о пользователе
Возвращаясь к начальным статьям, еще одна проблема безопасности - это исчерпание данных. В случае отдельных пользователей исчерпание данных можно использовать для отслеживания того, что пользователи делают, пока они находятся в сети (а не только для процессов). Например:
Если вы всегда носите с собой сотовый телефон, можно отслеживать перемещение Media Access Control (MAC), когда он перемещается между точками беспроводного подключения, чтобы отслеживать ваши физические перемещения.
Поскольку большинство потоков данных не симметричны - данные проходят через большие пакеты, а подтверждения передаются через небольшие пакеты, наблюдатель может обнаружить, когда вы выгружаете и скачиваете данные, и, возможно, даже когда вы выполняете небольшие транзакции. В сочетании с целевым сервером эта информация может дать хорошую информацию о вашем поведении как пользователя в конкретной ситуации или с течением времени. Этот и многие другие виды анализа трафика могут выполняться даже для зашифрованного трафика.
Когда вы переходите с веб-сайта на веб-сайт, наблюдатель может отслеживать, сколько времени вы тратите на каждый из них, что вы нажимаете, как вы перешли на следующий сайт, что вы искали, какие сайты вы открываете в любое время и т. д. информация может многое рассказать о вас как о личности, о том, чего вы пытаетесь достичь, и о других личных факторах.
Рандомизация MAC-адресов
Institute of Electrical and Electronic Engineers (IEEE) первоначально разработал адресное пространство MAC-48 для назначения производителями сетевых интерфейсов. Эти адреса затем будут использоваться "как есть" производителями сетевого оборудования, поэтому каждая часть оборудования будет иметь фиксированный, неизменный аппаратный адрес. Этот процесс был разработан задолго до того, как сотовые телефоны появились на горизонте, и до того, как конфиденциальность стала проблемой.
В современном мире это означает, что за одним устройством можно следить независимо от того, где оно подключено к сети. Многие пользователи считают это неприемлемым, особенно потому, что не только провайдер может отслеживать эту информацию, но и любой, кто имеет возможность прослушивать беспроводной сигнал. Один из способов решить эту проблему-позволить устройству регулярно менять свой MAC-адрес, даже, возможно, используя другой MAC-адрес в каждом пакете. Поскольку сторонний пользователь (прослушиватель) вне сети провайдера не может "угадать" следующий MAC-адрес, который будет использоваться любым устройством, он не может отслеживать конкретное устройство. Устройство, использующее рандомизацию MAC-адресов, также будет использовать другой MAC-адрес в каждой сети, к которой оно присоединяется, поэтому оно не будет отслеживаться в нескольких сетях.
Существуют атаки на рандомизацию MAC-адресов, в основном сосредоточенные вокруг аутентификации пользователя для использования сети. Большинство систем аутентификации полагаются на MAC-адрес, поскольку он запрограммирован в устройстве, чтобы идентифицировать устройство и, в свою очередь, пользователя. Как только MAC-адрес больше не является неизменным идентификатором, должно быть какое-то другое решение. Места, где рандомизация MAC-адресов может быть атакована, - это
Время (timing): если устройство собирается изменить свой MAC-адрес, оно должно каким-то образом сообщить другому абоненту беспроводного соединения об этих изменениях, чтобы канал между подключенным устройством и базовой станцией мог оставаться жизнеспособным. Должна быть какая-то согласованная система синхронизации, чтобы изменяющийся MAC-адрес мог продолжать обмен данными при изменении. Если злоумышленник может определить, когда произойдет это изменение, он сможет посмотреть в нужное время и обнаружить новый MAC-адрес, который принимает устройство.
Порядковые номера (Sequence numbers): как и во всех транспортных системах, должен быть какой-то способ определить, все ли пакеты были получены или отброшены. Злоумышленник может отслеживать порядковые номера, используемые для отслеживания доставки и подтверждения пакетов. В сочетании с только что отмеченной атакой по времени это может обеспечить довольно точную идентификацию конкретного устройства при изменении MAC-адреса.
Отпечатки информационных элементов (Information element fingerprints): каждое мобильное устройство имеет набор поддерживаемых функций, таких как установленные браузеры, расширения, приложения и дополнительное оборудование. Поскольку каждый пользователь уникален, набор приложений, которые он использует, также, вероятно, будет довольно уникальным, создавая "отпечаток" возможностей, которые будут сообщаться через информационный элемент в ответ на зонды от базовой станции.
Отпечатки идентификатора набора услуг (SSID): каждое устройство хранит список сетей, к которым оно может подключиться в настоящее время, и (потенциально) сетей, которые оно могло достичь в какой-то момент в прошлом. Этот список, вероятно, будет довольно уникальным и, следовательно, может выступать в качестве идентификатора устройства.
Хотя каждый из этих элементов может обеспечить определенный уровень уникальности на уровне устройства, комбинация этих элементов может быть очень близка к идентификации конкретного устройства достаточно часто, чтобы быть практически полезной при отслеживании любого конкретного пользователя, подключающегося к беспроводной сети.
Это не означает, что рандомизация MAC-адресов бесполезна, это скорее один шаг в сохранении конфиденциальности пользователя при подключении к беспроводной сети.
Луковая маршрутизация
Луковая маршрутизация - это механизм, используемый для маскировки пути, а также шифрования пользовательского трафика, проходящего через сеть. Рисунок 1 используется для демонстрации.
На рисунке 1 хост А хочет безопасно отправить некоторый трафик на K, чтобы ни один другой узел в сети не мог видеть соединение между хостом и сервером, и чтобы ни один злоумышленник не мог видеть открытый текст. Чтобы выполнить это с помощью луковой маршрутизации, A выполняет следующие действия:
Он использует службу для поиска набора узлов, которые могут соединяться между собой, и предоставления пути к серверу K. Предположим, что этот набор узлов включает [B, D, G], хотя на рисунке они показаны как маршрутизаторы, скорее всего, это программные маршрутизаторы, работающие на хостах, а не выделенные сетевые устройства. Хост A сначала найдет открытый ключ B и использует эту информацию для создания сеанса с шифрованием с симметричным ключом B.
Как только этот сеанс установлен, A затем найдет открытый ключ D и использует эту информацию для обмена набором симметричных ключей с D, наконец, построит сеанс с D, используя этот симметричный секретный ключ для шифрования защищенного канала. Важно отметить, что с точки зрения D, это сеанс с B, а не с A. Хост A просто инструктирует B выполнить эти действия от его имени, а не выполнять их напрямую. Это означает, что D не знает, что A является отправителем трафика, он знает только, что трафик исходит от B и передается оттуда по зашифрованному каналу.
Как только этот сеанс будет установлен, A затем проинструктирует D настроить сеанс с G таким же образом, как он проинструктировал B настроить сеанс с D. D теперь знает, что пункт назначения-G, но не знает, куда будет направлен трафик G.
У хоста A теперь есть безопасный путь к K со следующими свойствами:
Трафик между каждой парой узлов на пути шифруется с помощью другого симметричного закрытого ключа. Злоумышленник, который разрывает соединение между одной парой узлов на пути, по-прежнему не может наблюдать трафик, передаваемый между узлами в другом месте на пути.
Выходной узел, которым является G, знает пункт назначения, но не знает источник трафика.
Входной узел, которым является B, знает источник трафика, но не пункт назначения.
В такой сети только А знает полный путь между собой и местом назначения. Промежуточные узлы даже не знают, сколько узлов находится в пути-они знают о предыдущем и следующем узлах. Основная форма атаки на такую систему состоит в том, чтобы захватить как можно больше выходных узлов, чтобы вы могли наблюдать трафик, выходящий из всей сети, и соотносить его обратно в полный поток информации.
Атака "Человек посередине" (Man-in-the-Middle)
Любой вид безопасности должен не только изучать, как вы можете защитить информацию, но также учитывать различные способы, которыми вы можете вызвать сбой защиты данных. Поскольку ни одна система не является идеальной, всегда найдется способ успешно атаковать систему. Если вам известны виды атак, которые могут быть успешно запущены против системы безопасной передачи данных, вы можете попытаться спроектировать сеть и среду таким образом, чтобы предотвратить использование этих атак. Атаки "человек посередине" (MitM) достаточно распространены, и их стоит рассмотреть более подробно. Рисунок 2 демонстрирует это.
Рисунок 2-б аналогичен рисунку 2-а с одним дополнением: между хостом A и сервером C расположен хост B, который хочет начать зашифрованный сеанс. Некоторыми способами, либо подменяя IP-адрес C, либо изменяя записи службы доменных имен (DNS), чтобы имя C преобразовывалось в адрес B, или, возможно, даже изменяя систему маршрутизации, чтобы трафик, который должен быть доставлен в C, вместо этого доставлялся в B, злоумышленник заставил B принять трафик, исходящий из A и предназначенный для C. На рисунке 2-б:
Хост A отправляет полуслучайное число, называемое одноразовым номером, в C. Эту информацию получает B.
Хост B, который злоумышленник использует в качестве MitM, передает этот одноразовый номер на узел C таким образом, что создается впечатление, что пакет действительно исходит от узла A. В этот момент злоумышленник знает одноразовый идентификатор, зашифрованный A. Злоумышленник не знает закрытый ключ A, но имеет доступ ко всему, что A отправляет зашифрованным с помощью закрытого ключа A.
Сервер C также отправляет ответ с зашифрованным одноразовым случайным числом. B получает это и записывает.
Хост B передает одноразовое случайное число, полученное от C, на A. Хост A по-прежнему будет считать, что этот пакет пришел непосредственно от C.
Хост B вычисляет закрытый ключ с помощью A, как если бы это был C.
Хост B вычисляет закрытый ключ с помощью C, как если бы это был A.
Любой трафик, который A отправляет в C, будет получен B, что:
Расшифруйте данные, которые A передал, используя закрытый ключ, вычисленный на шаге 5 на рисунке 2-б.
Зашифруйте данные, которые A передал, используя закрытый ключ, вычисленный на шаге 6 на рисунке 2-б, и передайте их C.
Во время этого процесса злоумышленник на B имеет доступ ко всему потоку в виде открытого текста между A и C. Ни A, ни C не осознают, что они оба построили зашифрованный сеанс с B, а не друг с другом. Такого рода атаки MitM очень сложно предотвратить и обнаружить.