Как отследить звонок, которого нет в логе?

Question

[maniac_by]

Всем привет. Сегодня случилась беда.

На конкретно один телефонный номер начали приходит странные звонки с незивестных и незарегистрированных номеров в АТС, например 11101. В логах ничего о таких звонках не остается. Устройств никаких новых нет.

Как это можно отследить?

Comments

[Viktor]

где то с наружи идет доступ на порт телефона (скорей всего 5060 udp)
простой вариант сменить порт у телефона ( в настройках, на 53060 UDP например)
Не путайте, порт куда осуществляется регистрация (порт сервера) и порт на котором находится сам телефон

Answer 1

[Рональд Макдональд]

Да ладно, "не остаётся".
У вас FreePBX?
Скорее всего, это скрипты перебирают возможные номера, чтобы их взломать.
Не обращайте внимания, если пароли крепкие, то ничего страшного не случится.

Comments

[maniac_by]

Астериск 11.7 на бубунте.

Фаерволл:

Chain INPUT (policy DROP)
target     prot opt source               destination
fail2ban-ASTERISK  all  --  0.0.0.0/0            0.0.0.0/0
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED
input_ext  all  --  0.0.0.0/0            0.0.0.0/0
LOG        all  --  0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-IN-ILL-TARGET "
DROP       all  --  0.0.0.0/0            0.0.0.0/0

Chain FORWARD (policy DROP)
target     prot opt source               destination
LOG        all  --  0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-FWD-ILL-ROUTING "

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0

Chain fail2ban-ASTERISK (1 references)
target     prot opt source               destination
RETURN     all  --  0.0.0.0/0            0.0.0.0/0

Chain forward_ext (0 references)
target     prot opt source               destination

Chain input_ext (1 references)
target     prot opt source               destination
DROP       all  --  0.0.0.0/0            0.0.0.0/0            PKTTYPE = broadcast
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            icmptype 4
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            icmptype 8
LOG        tcp  --  0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 tcp flags:0x17/0x02 multiport dports 22 LOG flags 6 level 4 prefix "SFW2-INext-ACC-TCP "
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp multiport dports 5060
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp multiport dports 5060
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpts:10000:20000
ACCEPT     all  --  192.168.0.0/24       0.0.0.0/0
ACCEPT     all  --  192.168.XXX.0/21     0.0.0.0/0
ACCEPT     all  --  217.XXX.XXX.0/24       0.0.0.0/0
LOG        all  --  0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 mark match 0x1 ctstate NEW LOG flags 6 level 4 prefix "SFW2-INext-ACC-REDIR "
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate NEW,RELATED,ESTABLISHED mark match 0x1
DROP       all  --  0.0.0.0/0            0.0.0.0/0            PKTTYPE = multicast
DROP       all  --  0.0.0.0/0            0.0.0.0/0            PKTTYPE = broadcast
LOG        tcp  --  0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 tcp flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
LOG        icmp --  0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
LOG        udp  --  0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 ctstate NEW LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
DROP       all  --  0.0.0.0/0            0.0.0.0/0

Chain reject_func (0 references)
target     prot opt source               destination
REJECT     tcp  --  0.0.0.0/0            0.0.0.0/0            reject-with tcp-reset
REJECT     udp  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-proto-unreachable

[Рональд Макдональд]

maniac_by, а FreePBX-то установлена?

[maniac_by]

Рональд Макдональд, Нет, Только астериск.

[Рональд Макдональд]

maniac_by, жаль, в веб-интерфейсе можно было бы убедиться, что это просто левые коннекты со статусом INVITE.

[maniac_by]

Рональд Макдональд, А как их найти в логе? Ни CDR, ни Full их не показывают.

[Рональд Макдональд]

maniac_by, потому что звонков-то нет. Это попытки приконнектиться.

[maniac_by]

Рональд Макдональд, Т.е. возможности увидеть запись на них нет? К этому астериску подключены только Сип-провайдеры и второй астериск. На ваш взгялд, что можно изменить в правилах фаерволла, чтобы стало понадежнее?

[Drill]

maniac_by,
Разрешить входящие соединения только с известных IP:
iptables -A INPUT -p udp -s ip_sip_провайдера1, ip_sip_провайдера2, ip_asterisk2 --dport 5060 -j ACCEPT
iptables -A INPUT -p udp -s ip_sip_провайдера1, ip_sip_провайдера2, ip_asterisk2 --dport 10000:20000 -j ACCEPT

[maniac_by]

Drill, Спасибо

[Рональд Макдональд]

Drill, пардон, а разве удалённые SIP-устройства смогут подключиться к серверу в таком случае? Я знаю, что нет, просто мало ли.

[Drill]

Рональд Макдональд, maniac_by,
а почему не смогут?
Вся сип-сигнализация приходит на UDP порт 5060 (по умолчанию, если только специально не менял порт в конфигах). Медиа потоки в астериске принимаются в диапазоне портов 10000:20000 (по умолчанию).
Остается только задать в iptables какие порты и для каких IP открыты, соединения на эти порты с других IP просто дропаем.
У maniac_by эти порты доступны с любого IP ( source 0.0.0.0/0 ):

target     prot opt source               destination
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp multiport dports 5060
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp multiport dports 5060
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpts:10000:20000

Вот и ломятся все кому не лень...

[Рональд Макдональд]

Drill, не, я про другое.
Вот есть сервер с внешним IP. В него (не в транк) долбятся телефоны, допустим, в филиале с фиксированным IP.
Если я заблокирую все IP, кроме транков, разве смогут телефоны в филиалах достучаться до сервера?

[Drill]

Рональд Макдональд,

Разрешить входящие соединения только с известных IP:

В том числе и филиалов с фиксированным IP.

iptables -A INPUT -p udp -s ip_sip_провайдера1, ip_sip_провайдера2, ip_asterisk2, ip_филиала1, ip_филиала2, и т.д....

[Рональд Макдональд]

Drill, да, вот это я и имел в виду.

[maniac_by]

Рональд Макдональд, Drill, С tcpdump, с 9 вербосом, с сипдебагом пира так ничего на астериске и не всплыло.

Настроил syslog на телефонном аппарате. Немного не понял, как настроить чтобы логировался ip пакета, но хотябы удалось получить то, что в пакете. Сислог ставил на debug:

Oct 22 14:58:26 192.168.XXX.XXX GS_LOG: [00:0B:82:3A:XX:XX][000][9620000522A][01020503] Send SIP message: 100 To 77.247.110.44:57800, sip_handle: 0x0052F84A
Oct 22 14:58:26 192.168.XXX.XXX GS_LOG: [00:0B:82:3A:XX:XX][000][9620000522A][01020503] INVITE From=<sip:101@наш_паблик_ip_филиала_ватафак>;tag=46397036 To=<sip:810441519470482@наш_паблик_ip_филиала_ватафак>
Oct 22 14:58:26 192.168.XXX.XXX GS_LOG: [00:0B:82:3A:XX:XX][000][9620000522A][01020503] Send SIP message: 180 To 77.247.110.44:57800, sip_handle: 0x0052F84A

Можно ли как-то с телефона GXP-2000 отследить сам пакет? И я так понимаю, что настройка фаерволла на самом астериске не поможет. Нужно циску дергать?

Answer 2

[Drill]

Чтобы увелечить информативность консоли, например:
core set verbose 3 ( от 0 до 9)
Чтобы увеличить информативность логов, надо в файле asterisk.conf в секции [options] установить значение параметра verbose от 0 до 9. По умолчанию 0.
verbose = 3
Чтобы отображалось в логах, кто шлет пакеты, включите дебаг:
sip set debug on
если звонок приходит на один конкретный пир, то лучше включить дебаг только для этого пира:
sip set debug peer №пира(телефона)
Будьте осторожны, логи растут очень быстро.

Или используйте утилиты типа tcpdump. Для дампа SIP пакетов лучше всего использовать sngrep

Comments

[maniac_by]

Спасибо.

[Drill]

maniac_by,

настройка фаерволла на самом астериске не поможет. Нужно циску дергать?

Подсказать что-либо нереально, не зная архитектуры вашей сети

С tcpdump, с 9 вербосом, с сипдебагом пира так ничего на астериске и не всплыло

Если пакеты приходят на телефон, минуя астериск, то ничего и не всплывет.
Такое возможно только в случае voip direct calls (прямой звонок на IP адрес). Некоторые модели IP телефонов (в частности - Grandstream) поддерживают прямой звонок, набираешь IP адрес собеседника на клавиатуре и звонишь. Но для совершения такого звонка телефоны должны быть в одной сети.
Если же звонок приходит с внешнего IP минуя астериск, то как минимум, на вашем гейте должен быть НАТ и в нем должен быть проброс портов (SIP и RTP) на внутренний IP телефона, а не на астериск. Выглядит фантастически.
Поэтому, вариантов всего два:
1. Источник внутри сети.
2. Я не верю в "tcpdump, с 9 вербосом, с сипдебагом пира так ничего на астериске и не всплыло"
Запустите tcpdump на внешнем гейте (что там у вас - я не знаю) и ловите SIP пакеты там.

И, вообще, странно, что на Ваш вопрос "Как это можно отследить?" , отмечаете решением другой ответ, в котором даже нет намека на решение....