FreePBX friendly scanner, как завалить?

Question

[Артур Артур]

Здравствуйте коллеги.
FreePBX 13 Asterisk 13. При входящем звонке на транк городского провайдера, вываливается такая шляпа
[2016-07-26 19:41:30] WARNING[2769][C-00000005]: Ext. Мой_городской_номер:2 @ from-trunk: Friendly Scanner from 194.8.128.3
Чем только не пробовал блочить и этим и этим
Вот конфиг iptables (порт не стандартный)

# Generated by iptables-save v1.4.7 on Tue Jul 26 19:10:55 2016
*filter
:INPUT ACCEPT [1791:458438]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1761:461026]
-A INPUT -p udp -m udp --dport 5060 -m string --string "sipvicious" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m udp --dport 5060 -m string --string "sipsak" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m udp --dport 5060 -m string --string "iWar" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m udp --dport 5060 -m string --string "sundayddr" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m udp --dport 5060 -m string --string "sip-scan" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m udp --dport 5060 -m string --string "Fiendly Scanner" --algo bm --to 65535 -j DROP
-A INPUT -p udp -m udp --dport 62400 -m string --string "friendly-scanner" --algo bm --to 500 -j DROP
-A INPUT -p udp -m udp --dport 5060 -m string --string "friendly-scanner" --algo bm --to 500 -j DROP
COMMIT
# Completed on Tue Jul 26 19:10:55 2016

Answer 1

[solalex]

я добавил всего два правила

iptables -I INPUT -j DROP -p udp --dport 5060 -m string --string "friendly-scanner" --algo bm
iptables -I INPUT -j DROP -p udp --dport 5060 -m string --string "sipcli" --algo bm

теперь в логах давно не видно сканера

Comments

[Артур Артур]

solalex не помогло

Answer 2

[silverjoe]

Вот более охватывающие правила

# SIP protect UDP
-A RH-Firewall-1-INPUT -p udp -m udp --dport 5060 -m string --string "VaxSIPUserAgent" --algo bm --to 65535 -j DROP
-A RH-Firewall-1-INPUT -p udp -m udp --dport 5060 -m string --string "friendly-scanner" --algo bm --to 65535 -j DROP
-A RH-Firewall-1-INPUT -p udp -m udp --dport 5060 -m string --string "sipvicious" --algo bm --to 65535 -j DROP
-A RH-Firewall-1-INPUT -p udp -m udp --dport 5060 -m string --string "sipcli" --algo bm --to 65535 -j DROP

Для TCP сами модифицируете.

Comments

[Артур Артур]

silverjoe не помогло

[silverjoe]

Пардон, смените в правилах RH-Firewall-1-INPUT на INPUT

Answer 3

[Владимир]

самый эффективный fail2ban будет резать от всего назойливого, а не только friendly-scanner
главное проверить его правила на живых примерах

Comments

[Артур Артур]

Владимир согласен, но f2b добавляет в тюрьму адрес моего провайдера, естественно я звонить не могу

[Владимир]

для этого есть белый список

[Артур Артур]

Владимир Но зачем мне такой провайдер который дерьмом серит? такой вариант не подойдет. Спасибо

[arheops]

Провайдер как основной генератор звонков - ДОЛЖЕН попадать в правила. Все адреса провайдера всегда должны быть в белом списке.