fail2ban & iptables, qu'est-ce que c'est ?

[1/4] Pour commencer : soyons pragmatiques

1. n'autoriser que ce qui est nécessaire. C'est-à-dire que l'on n'activera pas les services que l'on n'utilise pas d'une part, et que l'on appliquera des filtrages par adresse IP lorsque cela est possible d'autre part.
2. ne pas utiliser un identifiant et/ou un mot de passe simple. Jamais. Il ne faut pas utiliser d'identifiant trivial comme : "100", "abc", "demo", "Pierre", "test", "temporaire", etc. Idem pour les mots de passe.

Filtrer l'authentification SIP par adresse IP

deny=0.0.0.0/0.0.0.0
permit=33.12.13.14/255.255.255.255

deny=0.0.0.0/0.0.0.0
permit=33.12.13.14/255.255.255.255
permit=33.22.23.24/255.255.255.255

Appliquer une sécurité de base sur notre configuration SIP

[general]
...
allowguest=no
alwaysauthreject=yes
...

• allowguest=no : bloque la possibilité de passer un appel sans être préalablement enregistré
• alwaysauthreject=yes : configure Asterisk pour qu'il renvoi le même message d'erreur générique lors d'une tentative de connexion erronée, que l'identifiant soit valide ou non

Utiliser un bon identifiant et un bon mot de passe

; Appel vers l'extension 100
exten => 100,1,Dial(SIP/aB7ytWxEd,25,rtT)
   same => n,Voicemail(100@mycontext,u)
   same=> n,Hangup()

[2/4] Bye-bye script-kiddies ou comment réduire le nombre d'attaques d'environ 99%

[general]
bindport=5872

[3/4] Configurer fail2ban pour Asterisk

Debian/Ubuntu/Mint : apt-get install fail2ban
CentOS/RedHat : yum install fail2ban (s'il ne trouve pas le paquet fail2ban, le faire précéder d'un yum install epel-release)

3.1 - Créons un fichier de log Asterisk pour fail2ban

fail2ban => notice,security

myserver# asterisk -rx 'logger reload'

3.2 - Créons un "jail" pour Asterisk

[asterisk-provya]
enabled  = true
ignoreip = 127.0.0.1 1.2.3.4
filter   = asterisk
action   = iptables-allports[name=asterisk, protocol=all]
logpath  = /var/log/asterisk/fail2ban
findtime  = 10m
maxretry = 3
bantime  = 360m

• [asterisk-provya] : nom de notre jail (prison)
• enabled = true : permet d'activer ce jail ; c'est-à-dire cette règle
• ignoreip = 127.0.0.1 1.2.3.4 : la liste des adresses IP sources qui ne doivent pas être prises en compte par fail2ban. Il s'agit généralement des adresses IP légitimes comme l'adresse IP de notre connexion Internet ou d'un serveur VPN, par exemple. Il est recommandé de toujours laisser l'adresse 127.0.0.1. Chaque adresse IP doit être séparée par un simple espace.
• filter = asterisk : le nom du filtre qui contient l'expression régulière qu'utilisera fail2ban pour détecter les tentatives d'intrusion. Le filtre "asterisk" est un filtre déjà pré-existant avec fail2ban. Il est bien fait. Nous l'utilisons.
• action = iptables-allports[name=asterisk, protocol=all] : l'action qui sera exécutée par fail2ban lorsque les critères de déclenchement s'activeront. Dans le cas présent, nous indiquons à fail2ban d'utiliser l'action "iptables-allports" qui est une action pré-existante qui va créer une règle iptables de filtrage. La règle de filtrage iptables comportera le mot clef "asterisk" (ce qui nous permettra de la repérer facilement) et bloquera tous les ports de notre serveur pour l'adresse IP source incriminée (protocol=all).
• logpath = /var/log/asterisk/fail2ban : le nom du fichier de log que fail2ban devra lire pour détecter les tentatives d'intrusion. Il s'agit du fichier de log Asterisk que nous avons créé à l'étape précédente.
• findtime = 10m : la durée sur laquelle le nombre de tentatives de connexion va être prise en compte par fail2ban. Ici, 10 minutes.
• maxretry = 3 : le nombre de tentatives de connexions à partir de laquelle notre filtrage va se déclencher. Ici, 3 tentatives.
• bantime = 360m : la durée de bannissement. Ici, 360 minutes, soit 6 heures. Si vous souhaitez bannir une adresse IP plus d'une journée, il vous faudra personnaliser la valeur de "dbpurgeage" du fichier fail2ban.conf

3.3 - [Optionnel] Personnalisons le filtre pour Asterisk

^Call from '[^']*' \(<HOST>:\d+\) to extension '[^']*' rejected because extension not found in context

systemctl reload fail2ban

3.4 - Les commandes utiles pour fail2ban

• fail2ban-client status : liste tous les « jails » configurés
• fail2ban-client status asterisk-provya : affiche le statut du jail spécifié (ici, asterisk-provya) et précise le nombre d'adresses IP bannies
• systemctl restart fail2ban : redémarre le service fail2ban
• fail2ban-client set asterisk-provya banip 1.2.3.4 : permet de bannir manuellement l'adresse IP 1.2.3.4 dans le jail asterisk-provya
• fail2ban-client set asterisk-provya unbanip 1.2.3.4 : permet de dé-bannir manuellement une adresse IP qui a été précédemment bannie
• fail2ban-regex /var/log/asterisk/fail2ban /etc/fail2ban/filter.d/asterisk.conf : permet de tester le bon fonctionnement d'un filtre fail2ban sur un fichier de log
• fail2ban-client get dbpurgeage : affiche la durée maximum durant laquelle les adresses IP bannies seront conservées
• fail2ban-client get asterisk-provya bantime : affiche la durée de bannissement du jail indiqué

[4/4] Configurer iptables pour Asterisk

• serveur Asterisk (SIP) : port UDP/5060 (ou celui que vous aurez configuré précédemment !)
• serveur Asterisk (flux audio RTP) : ports UDP/10.000-20.000
• serveur SSH : port TCP/22
• interface d'administration web (si installée) : port TCP/443
• ICMP (si l'on souhaite que son serveur réponde au ping) : icmp

• mise à jour (HTTP/HTTPS) : ports TCP/80, TCP/443
• flux NTP : port UDP/123
• flux DNS : port UDP/53
• flux trunk SIP : port UDP/5060 (ou celui configuré par votre opérateur SIP)
• flux RTP : ports UDP/10.000-20.000

• Nous autorisons l'accès aux services d'administration du serveur (SSH et HTTPS, par exemple) uniquement pour l'adresse IP de la connexion Internet de notre entreprise : 188.10.11.12
• Nous n'appliquons pas de filtrage par adresse IP pour les services Asterisk (SIP & RTP) afin de permettre l'accès par les utilisateurs nomades
• Nous autorisons la plage d'adresses IP utilisées par notre opérateur SIP : 51.5.6.0/24

iptables -A INPUT -s 51.5.6.0/24 -p udp -m udp --dport 5060 -m comment --comment "Opérateur SIP - flux SIP" -j ACCEPT
iptables -A INPUT -s 51.5.6.0/24 -p udp -m udp --dport 10000:20000 -m comment --comment "Opérateur SIP - flux RTP" -j ACCEPT
iptables -A INPUT -s 188.10.11.12/24 -p tcp -m tcp --dport 443 -m comment --comment "Administration - IP du bureau" -j ACCEPT
iptables -A INPUT -s 188.10.11.12/24 -p tcp -m tcp --dport 22 -m comment --comment "Administration - IP du bureau" -j ACCEPT
iptables -A INPUT -m comment --comment "filtrage fail2ban" -j asterisk-provya
iptables -A INPUT -p udp -m udp --dport 5060 -m comment --comment "Flux SIP Open" -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 10000:20000 -m comment --comment "Flux RTP Open" -j ACCEPT
iptables -A INPUT -p icmp -m comment --comment "si l'on souhaite autoriser les PING" -j ACCEPT
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m comment --comment "On bloque tout le reste" -j DROP

iptables -A asterisk-provya -j RETURN

iptables -A OUTPUT -d 51.5.6.0/24 -p udp -m udp --dport 5060 -m comment --comment "Opérateur SIP - flux SIP" -j ACCEPT
iptables -A OUTPUT -d 51.5.6.0/24 -p udp -m udp --dport 10000:20000 -m comment --comment "Opérateur SIP - flux RTP" -j ACCEPT
iptables -A OUTPUT -p udp -m udp --dport 10000:20000 -m comment --comment "Flux RTP Open" -j ACCEPT
iptables -A OUTPUT -p udp -m tcp --dport 80,443 -m comment --comment "Flux HTTP/HTTPS" -j ACCEPT
iptables -A OUTPUT -p udp -m udp --dport 123 -m comment --comment "Flux NTP" -j ACCEPT
iptables -A OUTPUT -d 9.9.9.9/32 -p udp -m udp --dport 53 -m comment --comment "Flux DNS vers Quad9" -j ACCEPT
iptables -A OUTPUT -p icmp -m comment --comment "si l'on souhaite autoriser les PING" -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m comment --comment "On bloque tout le reste" -j DROP

Commandes utiles pour iptables[/u]

• [b]iptables -L -n : liste toutes les règles iptables (l'option -n permet l'affichage des adresse IP au format numérique)
• iptables -L --line-numbers : affiche le numéro de ligne de chaque règle
• iptables -D OUTPUT 2 : supprime la règle numéro 2 de la chaîne OUTPUT
• iptables-save > provya.txt : fait une sauvegarde des règles iptables vers le fichier provya.txt
• iptables-restore < provya.txt : restaure les règles contenues dans le fichier provya.txt

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : asterisklinuxsécurité

Activer et vérifier les logs !

S'assurer que la règle est configurée sur la bonne interface

Vérifier l'ordre de ses règles

1. Règles "floating" : ce sont les règles analysées en premier ;
2. Règles de groupe d'interfaces : second jeu de règles à être analysé. Cela comprend le groupe "IPsec" et "OpenVPN" ;
3. Règles de l'interface : les règles configurées sur l'interface (LAN, WAN, OPT1, ...) ne sont analysées qu'en dernier.

• règles d'Outbound NAT
• règles de translation de ports (Port Forwards)
• règles de NAT pour le load-balancing
• règles reçues dynamiquement par les clients OpenVPN et par RADIUS pour IPsec
• règles automatiques internes (obtenues par diverses sources comme snort, DHCP, ...)
• règles définies par l'utilisateur (sur l'interface floating, sur les interfaces de groupes et pour chaque interface)
• règles automatiques pour les VPN

Vérifier le protocole

Translation de port & NAT

Port source et port destination

Penser à réinitialiser la table d'état si nécessaire

Trafic ne pouvant pas être filtré

Règle "pass" automatiquement associée au Port Forward

Routage asymétrique

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : debugpfSense

OpenVPN = la solution idéale pour les utilisateurs nomades

Principe de fonctionnement

Configuration du serveur OpenVPN

1. une autorité de certification, sauf si nous en disposons déjà d'une
2. un certificat serveur
3. un certificat client
4. les accès utilisateurs (login et mot de passe)
5. le serveur OpenVPN en tant que tel
6. les règles de firewall et de NAT idoines
7. la configuration des clients nomades

1. Création d'une autorité de certification

• Descriptive name : le nom que l'on souhaite donner à notre autorité de certification
• Method : 3 méthodes sont possibles :

1. Import an existing Certificate Authority : permet d'importer le certificat (clé publique + clé privée) d'une autorité de certification existante
2. Create an internal Certificate Authority : permet de créer une nouvelle autorité de certification
3. Create an intermediate Certificate Authority : permet de créer une autorité de certification intermédiaire. Cette autorité de certification intermédiaire doit être rattachée à une autorité de certification existante

• Key length : la longueur de la clé de chiffrement du certificat. Plus elle est longue, plus elle sera sécurisée (mais plus la charge CPU sera grande également...). Nous gardons la valeur par défaut : 2048
• Digest Algorithm : la fonction de hachage qui sera utilisée. Nous gardons la valeur par défaut : SHA256
• Lifetime : la durée de vie de l'autorité de certification. Si nous n'avons pas de raison de réduire sa durée de vie, nous laissons la valeur par défaut (3650 jours, soit 10 ans)
• Country Code : le code ISO du pays. Dans notre cas : FR

2. Création d'un certificat serveur

• Method : 3 méthodes sont possibles :

1. Import an existing Certificate : permet d'importer la clé publique et la clé privée d'un certificat existant
2. Create an internal Certificate : permet de créer une nouveau certificat
3. Create a certificate Signing Request : permet de créer un fichier de requête qui pourra être envoyé à un CA tiers pour être signé. Cela peut être utile pour obtenir un certificat d'un CA root de confiance.

• Descriptive name : le nom que l'on souhaite donner à notre certificat serveur
• Certificate authority : l'autorité de certification qui signera le certificat que nous sommes en train de créer. Dans notre cas, nous choisissons le CA que nous venons de créer, soit "CA Provya"
• Key length : la longueur de la clé de chiffrement du certificat. Plus elle est longue, plus elle sera sécurisée (mais plus la charge CPU sera grande également...). Nous gardons la valeur par défaut : 2048
• Digest Algorithm : la fonction de hachage qui sera utilisée. Nous gardons la valeur par défaut : SHA256
• Certificate Type : le type de certificat. Il existe 2 valeurs possibles :

1. User Certificate : pour définir un certificat pour un client
2. Server Certificate : pour définir un certificat pour un serveur

• Lifetime : la durée de vie du certificat. Si nous n'avons pas de raison de réduire sa durée de vie, nous laissons la valeur par défaut (3650 jours, soit 10 ans)

3. Création d'un certificat client

4. Création des utilisateurs

• Group name : le nom du nouveau groupe. Ce nom ne doit pas contenir d'espace. Dans notre cas, nous indiquons "OpenVPN-user"
• Scope : la portée du groupe. Nous laissons la valeur par défaut "Local"
• Description : une description facultative
• Group Memberships la liste des membres du groupe. Dans notre cas, nous la laissons vide pour le moment

• Disabled : permet de désactiver un utilisateur sans le supprimer
• Username : le nom d'utilisateur (sans espace ni caractères spéciaux)
• Password : le mot de passe
• Full name : Le nom de l'utilisateur associé à ce compte
• Expiration date : La date d'expiration du compte. Elle doit être saisie au format américain, c'est-à-dire mm/jj/aaaa (mois/jour/année). Si ce champ est laissé vide, le compte n'expirera jamais.
• Group Memberships : c'est ici que nous définissons le groupe auquel nous rattachons l'utilisateur. Dans notre cas, nous choisirons "OpenVPN-user"
• Certificate : si l'on souhaite créer par la même occasion un certificat pour l'utilisateur (ce que nous ne ferons pas)
• Authorized keys : si l'on souhaite définir la clé autorisée pour la connexion de l'utilisateur (nous ne cochons pas cette case)
• IPsec Pre-Shared Key : utiliser pour les connexions en VPN IPsec ; ce qui n'est pas notre cas (nous laissons donc ce champ vide)

5. Création du serveur OpenVPN

• Server Mode : choisir "Remote Access (SSL/TLS + User Auth)"
• TLS Authentication : cocher la case "Enable authentication of TLS packets" pour davantage de sécurité. Nous ne conseillons pas de la cocher
• Peer Certificate Authority : choisir l'autorité de certification créée précédemment ("CA Provya (ca-provya)")
• Server Certificate : choisir le certificat serveur créé précédemment ("Certificat Serveur (certif-serveur-provya)")
• DH Parameters Length : nous laissons la valeur par défaut (1024 bits)

6. Configuration du firewall et du NAT

• Interface : WAN
• Protocol : UDP
• Source : choisir "any"
• Destination : WAN address
• Destination port range : port choisi lors de la configuration du serveur OpenVPN (1194 dans notre exemple)

• Interface : WAN
• Protocol : UDP
• Src. addr & Src. port : choisir "any"
• Dest. addr : l'adresse IP WAN
• Dest. ports : le port d'écoute du serveur OpenVPN
• NAT IP : l'adresse IP du pfSense sur l'interface WAN
• NAT Ports : le porte d'écoute du serveur OpenVPN (1194, dans notre exemple)

7. Configuration des clients nomades

• la clé publique et la clé privée du certificat client créé précédemment
• un fichier de configuration d'OpenVPN à créer manuellement

• remote my-server 1194 => à remplacer par l'adresse IP publique (ou le nom de domaine associé) et par le bon port d'écoute
• ca ca-provya.crt => la clé publique de l'autorité de certification
• cert provya-client.crt => la clé publique du certificat client
• key provya-client.key => la clé privée du certificat client

##############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server.     #
#                                            #
# This configuration can be used by multiple #
# clients, however each client should have   #
# its own cert and key files.                #
#                                            #
# On Windows, you might want to rename this  #
# file so it has a .ovpn extension           #
##############################################

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun

# Windows needs the TAP-Windows adapter name
# from the Network Connections panel
# if you have more than one.  On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server?  Use the same setting as
# on the server.
;proto tcp
proto udp

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote my-server 1194


# Choose a random host from the remote
# list for load-balancing.  Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server.  Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
resolv-retry infinite

# Most clients don't need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
;user nobody
;group nobody

# Try to preserve some state across restarts.
persist-key
persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets.  Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings

# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
ca ca-provya.crt
cert provya-client.crt
key provya-client.key

# Verify server certificate by checking
# that the certicate has the nsCertType
# field set to "server".  This is an
# important precaution to protect against
# a potential attack discussed here:
#  http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the nsCertType
# field set to "server".  The build-key-server
# script in the easy-rsa folder will do this.
;ns-cert-type server

# If a tls-auth key is used on the server
# then every client must also have the key.
;tls-auth ta.key 1

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
;cipher x

# Enable compression on the VPN link.
# Don't enable this unless it is also
# enabled in the server config file.
;comp-lzo

# Set log file verbosity.
verb 3

# Silence repeating messages
;mute 20

# Autentification par login et mot de passe
auth-user-pass

Analyse et Debug

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : openVPNpfSenseutilisateurs nomadesVPN nomade

1. Utiliser les serveurs DNS Cloudfare (ou Quad9)

• 1.1.1.1
• 1.0.0.1

• 9.9.9.9
• 149.112.112.112

2. Activer DNS sur TLS

server:
forward-zone:
name: "."
forward-ssl-upstream: yes
forward-addr: 1.1.1.1@853
forward-addr: 1.0.0.1@853

server:
forward-zone:
name: "."
forward-ssl-upstream: yes
forward-addr: 9.9.9.9@853
forward-addr: 149.112.112.112@853

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : DNSpfSensesécuritéTLS

fail2ban, est-ce bien utile ?

Pas convaincu de la nécessité de fail2ban ? Partage d'un retour d'expérience

• serveur 1 : SSH (port 22) et Asterisk (port 5060)
• serveur 2 : SSH (port 22) et Apache (port 80)
• serveur 3 : SSH (port 22) et Apache (port 443)

Conclusion : fail2ban, c'est indispensable !

Debian/Ubuntu/Mint : apt-get install fail2ban
CentOS/RedHat : yum install fail2ban (s'il ne trouve pas le paquet fail2ban, le faire précéder d'un yum install epel-release)

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : linuxsécurité

1. Créons une interface sans-fil

• Infrastructure (BSS) : permet de se connecter à un réseau Wi-Fi existant ;
• Ad-Hoc (IBSS) : permet de se connecter à un Wi-Fi existant en mode point-à-point ;
• Access Point : permet de créer et diffuser un nouveau point d'accès Wi-Fi.

2. Configurons l'interface Wi-Fi

• Enable : cocher cette case pour activer l'interface, bien-sûr.
• Description : le nom de notre interface. Nous choisissons tout simplement "wifi".
• IPv4 Configuration Type : la configuration IPv4 à appliquer sur cette interface. Les choix parlent d'eux-mêmes. Nous choisissons "Static IPv4" pour donner à cette interface une adresse IP statique.
• IPv6 Configuration Type : la configuration IPv6 à appliquer sur cette interface. Dans notre cas, nous ne travaillerons pas avec IPv6, nous choisissons donc "None".
• MAC Address : ce champ est à compléter si l'on souhaite modifier l'adresse MAC de notre carte Wi-Fi. Ce ne sera pas notre cas ici, nous laissons donc ce champ vide.
• MTU : permet de personnaliser la valeur du MTU, qui correspond à la taille maximale d'un paquet pouvant être transmis en une seule fois sans être fragmenté. Dans notre cas, nous laissons ce champ vide afin de garder la valeur par défaut, soit 1 500 octets.
• MSS : permet de personnaliser la taille du MSS pour les connexions TCP. Si vous décidez de personnaliser cette valeur, pfSense la diminuera automatiquement de 40 octets (ce qui correspond à la taille de l'en-tête TCP/IP). Dans notre cas, nous laissons ce champ vide afin de garder la valeur par défaut.
• Speed and Duplex : permet de définir la vitesse de fonctionnement de l'interface. Le menu déroulant présente toutes les configurations supportées par votre carte Wi-Fi. Nous restons sur le choix par défaut.
• IPv4 Address : l'adresse IPv4 de notre interface Wi-Fi
• IPv4 Upstream gateway : nous laissons la valeur à None.
• Persist common settings : cocher cette case permet de conserver les configurations effectuées même lorsque l'interface logique est supprimée. Nous laissons cette case décochée.
• Standard : la déclinaison du standard 802.11 avec lequel nous souhaitons travailler. Les choix proposés dépendent de votre carte Wi-Fi. Dans notre cas, nous choisissons 802.11 ng.
• Channel : le canal Wi-Fi qui sera utilisé par pfSense. Il est recommandé d'opter pour le 1, le 6 ou le 11. Dans notre cas, nous choisissons le 6.
• Mode : nous choisissons "Access Point".
• SSID : l'identifiant de notre réseau Wi-Fi. Vous pouvez choisir ce que vous souhaitez. Dans notre exemple, nous l'avons nommé Point-Acces-pfSense.
• Enable WME : cocher cette case.
• WAP - Enable : cocher cette case.
• WPA mode : pour des raisons de sécurité, choisir WPA 2 exclusivement.

3. Activons le serveur DHCP

4. Créons une règle de firewall

5. Debug / Dépannage

Vérifier l'état de son interface Wi-Fi

Voir les autres réseaux Wi-Fi à proximité

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : pfSenseWi-Fi

Les étapes de la mise à jour

1. Sauvegarde de la configuration : permettra un retour-arrière rapide en cas de problème
2. Mise à jour du serveur Asterisk
3. Sauvegarde de la configuration après la mise à jour : permet de bénéficier d'une sauvegarde à jour de la configuration en cas de panne ultérieure

Sauvegarder ses fichiers de configuration Asterisk

• /etc/asterisk : le répertoire de configuration d'Asterisk
• /var/spool/asterisk/voicemail/ : le répertoire des messageries vocales d'Asterisk
• /var/lib/asterisk/sounds/ : le répertoire contenant les fichiers sons

mysqldump -u root -p -r/sauvegarde/asterisk.sql asteriskcdr

Connaître la dernière version d'Asterisk

http://downloads.asterisk.org/pub/telephony/asterisk/asterisk-11-current.tar.gz => pour la 11
http://downloads.asterisk.org/pub/telephony/asterisk/asterisk-13-current.tar.gz => pour la 13
...

Télécharger la dernière version d'Asterisk

cd /usr/src

wget http://downloads.asterisk.org/pub/telephony/asterisk/asterisk-11-current.tar.gz

tar -zxvf asterisk-11-current.tar.gz

cd asterisk-11.14.1

Mettre à jour sa version d'Asterisk

./configure
make menuselect
make
make install

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : asteriskmettre à jour asteriskupgrade

Principe de fonctionnement

Mettre en écoute son serveur SSH sur le port 443

myserver# vim /etc/ssh/sshd_config

# What ports, IPs and protocols we listen for
Port 22

Port 443

# What ports, IPs and protocols we listen for
Port 22
Port 443

myserver# /etc/init.d/ssh reload

telnet mon-serveur-cible mon-port-cible

telnet myserver.mydomain.tld 443

Trying myserver.mydomain.tld...
Connected to myserver.mydomain.tld.
Escape character is '^]'.

Trying myserver.mydomain.tld...
telnet: Unable to connect to remote host: Connection refused

Monter le tunnel SSH - Solution Windows

Monter le tunnel SSH - Solution Linux

ssh -D port-local nomutilisateur@nomhôte -p port-distant

ssh -D 1234 root@myserver.mydomain.tld -p 443

ssh -o ServerAliveInterval=2 -D 1234 root@myserver.mydomain.tld -p 443

Rediriger ses flux réseaux à travers le tunnel VPN

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : SSHtunnel SSHVPN

Étape 1 - Installation de postfix

myserver# apt-get install postfix

Étape 2 - Modification du fichier main.cf

relayhost = ns0.ovh.net:587	# on précise le serveur relay ainsi que le port d'écoute

smtp_sasl_auth_enable = yes	
smtp_sasl_password_maps = hash:/etc/postfix/sasl/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_generic_maps = hash:/etc/postfix/generic

inet_protocols = ipv4

Étape 3 - Création du fichier generic

utilisateur	adresse@email.fr

myserver# postmap hash:/etc/postfix/generic

Étape 4 - Création du fichier sasl_passwd

ns0.ovh.net adresse@email.fr:mot_de_passe

myserver# postmap hash:/etc/postfix/sasl/sasl_passwd

Étape 5 - Reload + test

myserver# /etc/init.d/postfix restart

mailq

myserver# /etc/init.d/postfix stop
myserver# postsuper -d ALL
myserver# /etc/init.d/postfix start

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : emaillinuxpostfix

Connexion à la console Asterisk

root@asterisk1:~# asterisk -rvvv

Lister tous les comptes SIP

asterisk*CLI> sip show peers

Name/username      Host              Dyn   Forcerport        Comedia           ACL         Port        Status            Description
1001/s             Unspecified       D     Yes               Yes                           11475       UNKNOW            
1002/s             192.168.11.1      D     Yes               No                A           1024        OK (29 ms)            
1003/s             192.168.11.2      D     Yes               No                            5060        OK (14 ms)            
3 sip peers [Monitored: 2 online, 1 offline Unmonitored: 0 online, 0 offline]

• Le poste « 1001 » n'est pas enregistré sur le serveur Asterisk :
• Son adresse IP n'est pas connue : elle vaut « Unspecified »
• Son état est à « UNKNOW »
• Le poste « 1002 » est bien enregistré sur le serveur Asterisk :
• Son état est à « OK »
• Son adresse IP est 192.168.11.1
• Sa latence SIP est de « 29ms »
• Le poste « 1003 » est bien enregistré sur le serveur Asterisk :
• Son état est à « OK »
• Son adresse IP est 192.168.11.2
• Sa latence SIP est de « 14ms »

Détailler les paramètres d'un compte SIP

asterisk*CLI> sip show peer 1001

Voir les communications en cours

asterisk*CLI> core show channels

Channel              Location   State   Application(Data)
SIP/1001-00009867  s@user:36  Up      Dial(SIP/1002,15,hHtT)
SIP/1002-00009876  (None)     Up      AppDial((Outgoing Line))
2 active channels
1 active call
4012 calls processed

• Les postes « 1001 » et « 1002 » sont en communication (l'un avec l'autre)
• C'est le poste « 1001 » qui appelle l'autre poste (la dernière application lancée étant « Dial(SIP/1002,15,hHtT) » qui se traduit par « appeler le poste SIP 1002, laisser sonner 15 secondes avant de passer à l'étape suivante du dialplan s'il ne décroche pas »).
• On observe qu'il y a 1 appel en cours (1001 vers 1002) et qu'il y a eu 4012 appels passés depuis que le service Asterisk est démarré.

Connaître le détail d'une communication en cours

asterisk*CLI> core show channel SIP/1001-00009867

NativeFormats: (alaw)
WriteFormat: alaw
ReadFormat: alaw

level 1: start=2015-06-09 15:44:26
level 1: answer=2015-06-09 15:44:47
level 1: duration=774
level 1: billsec=753

Observer la perte de paquets sur une communication

asterisk*CLI> sip show channelstats

Peer             Call ID      Duration Recv: Pack  Lost       (     %) Jitter Send: Pack  Lost       (     %) Jitter
192.168.11.1     4d67bf4946f           0000002619  0000000000 ( 0.00%) 0.0000 0000002626  0000000000 ( 0.00%) 0.0001
192.168.11.2     3560b15a896  00:02:22 0000007095  0000000000 ( 0.00%) 0.0000 0000007096  0000000000 ( 0.00%) 0.0001
192.168.10.1     2f10b98f723  00:43:18 0000000129K 0000000001 ( 0.00%) 0.0000 0000000129K 0000000003 ( 0.00%) 0.0000
3 active SIP channels

• Il n'y a pas de perte de paquets sur ces appels concernant les peer SIP 1001 et 1002 (que ce soit pour les paquets reçus (Recv Pack Lost) comme pour les paquets émis (Send Pack Lost))
• Le peer 1003 rencontre très peu de perte de paquets (quantité totalement négligeable)
• La variation de la latence (Jitter) est faible : cela signifie que la qualité du lien réseau est stable.

Saisir les commandes Asterisk directement depuis le SHELL Linux

root@asterisk1:~# asterisk -rx 'ma commande Asterisk'

1002/s             192.168.11.1      D     Yes               No                A           1024        OK (29 ms)            
1003/s             192.168.11.2      D     Yes               No                            5060        OK (14 ms)  

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : asterisk