Откуда берется входящий звонок на международный номер с моего же IP-адреса?

Question

[Никита Траторов]

Сижу, ни кого не трогаю, как вдруг, начинается бесконечная последовательность входящих вызовов.
Сбрасываешь - тут же начинается новый.
IP-адрес указан мой. Номер 6500 на АТС-ке не существует.
В лог-файле /var/log/asterisk/full нет ни одного упоминания ни аккаунта 6500, ни набираемого международного, по IP видно только его авторизации.
В CDR-отчете тоже пусто.

Звонилка отображает это так:


Подскажите, пожалуйста, куда копать?

Asterisk 13.7.2
FreePBX 13.0.197.28
MicroSIP

Comments

[Дмитрий]

Офтоп, но ещё помогает заблокировать на уровне оператора звонки на МГ и МН направления, если конечно сами не звоните по этим направлениям

Answer 1

[Gansterito]

Вызов валиватся на ваш десктоп с SIP-клиентом, но не проходит через ваш Asterisk?
Если да, то у вашего десктопа либо публичный IP, либо в NAT на роутере организован "проброс порта", либо NAT работает в режиме "Port Restricted Cone" и по уже открытой между вами и легитимной АТС сесии пролетают пакеты от "злоумышленников".

Comments

[Никита Траторов]

А вот эта версия в голову не приходила. Почему только на одном десктопе с SIP-клиентом это происходит и никак не фиксируется на АТС? Я надеюсь, что Вы правы. Попробую поковырять домашний роутер и подниму нормальный файрвол на винде. Спасибо

[Gansterito]

Никита Траторов, я попробовал "прозвонить" на указанный на картинке IP-адрес, но, увы, не получилось. Может быть он поменялся, или порт не 5060... Если скажете в личке актуальный IP, попробую позвонить еще раз.

[Никита Траторов]

IP постоянный, просто компьютер не всегда онлайн. После 13 часов будет включен, я договорился.

[Никита Траторов]

Gansterito, сейчас включили

[Gansterito]

Ну вот, на мой Invite приходит Trying, потом 486 DND



Соответственно, у вас в истории клиенте должен сохранится вызов, и его не будет на АТС...

[Никита Траторов]

Gansterito, да, DND включен. В журнале звонилки видно 19x.xx.xx.xx:5060.
Поделитесь, пожалуйста, в чём причина такой возможности?
PnP на роутере способствует? Или это какая-то дыра.
И, получается, АТС-ка ни при чём?

[Никита Траторов]

Gansterito, опишите в отдельном посте, я помечу как ответ

[Gansterito]

Никита Траторов, ну вот, вы спалили IP-шник песочницы. А я его 2 минуты стирал из дампа (((

[Никита Траторов]

Gansterito, прошу прощения, это я не подумал. :(( Да минует её хабраэффект. Я должен Вам пыво

[Gansterito]

Никита Траторов, там еще можно подредактировать. Не столько страшен IP сколько связь IP-Хабраюзер.

[Никита Траторов]

Gansterito, тощна. Done. Куда отправлять "пиво" и достаточно ли будет закрыть 5060 на роутере. Или может в звонилке просто поставить запрет на входящие с любых доменов кроме домена пользователя?

[Gansterito]

Никита Траторов, если звонилка умеет, нужно запрещать Direct IP Call. В телефонах Yealink, к примеру, такая опция - https://support.yealink.com/en/portal/knowledge/sh...
Но главная мысль такой ситуации - "наличие NAT не избавляет от необходимости Firewall".
Если ваша телефония работает внутри ограниченного количества лиц (сотрудники компании, мафиозный клан и т.д.) то лучше отказаться от стандартного порта 5060. Ваш локальный порт 1035 я нашел перебором с 1 024 по 65 535. В худшем случае мне пришлось бы сделать 64 511 попытки, пока не попал бы на активную сессию на NAT. Если бы вы использовали нестандартный порт, и я, и боты не нашли бы вашу SIP-сессию... Либо пришлось бы перебирать ~ 4 млрд. пар Source Port - Destination Port.

[Никита Траторов]

Gansterito, спасибо за помощь! К сожалению 5060 или любой другой нет смысла менять/прятать, ибо он прописан в SVR-записях.

Answer 2

[Армянское Радио]

Типичный перебор и поиск дырок для того, чтобы звонить нахаляву.

Блокируйте звонки с незареганых номеров
Включайте TLS хотя бы для сигнализации
Прячьте внутренние сети в VPN
Пользуйтесь нестандартными портами

Comments

[Никита Траторов]

Вас не затруднит дать ссылки на указанные решения?
Я интересуюсь, буквально, что это за дырка. Если Вы сталкивались или понимаете где она.

Вполне очевидно, что дырка есть. Но почему-то только с одним из нескольких десятков внутренних номеров.