Настройка firewall
При необходимости настройки firewall (межсетевого экрана, брандмауэра) требуется обеспечить беспрепятственное прохождение трафика по тем портам, которые используются вашим программным обеспечением или оборудованием в их текущей конфигурации.
Как правило, на клиентской стороне по умолчанию используются следующие порты:
- 5060 UDP или случайный порт >1024 TCP — для передачи сигнальной информации протокола SIP
- Случайный порт >1024 TCP — для передачи сигнальной информации протокола XIMSS (в программе Sippoint)
- Для передачи речевой информации (RTP) разные производители используют по умолчанию различные диапазоны UDP-портов, например:
- 16384–16482 (Linksys PAP2)
- 16384–32766 (Cisco 79×0)
- 16380–16390 (Cisco ATA)
- 49152–65535 (SJphone)
- 49152–65534 (Nokia)
- 1024-65535 (Sippoint)
- и т.д. и т.п.
На стороне серверов SIPNET используются следующие порты:
- 5060 UDP или TCP — для сигнальной информации протокола SIP
- 5061 TCP — для сигнальной информации протокола SIP поверх TLS
- 11024 TCP — для сигнальной информации протокола XIMSS
- для приема/передачи голосового трафика (RTP) используются различные приземляющие узлы (шлюзы) и прокси-сервера (media proxy), все они расположены на неизвестных до начала звонка IP-адресах и используют произвольные диапазоны UDP-портов
IP адреса Sipnet 212.53.40.0/24
Мы рекомендуем уточнять номера используемых портов по документации к вашему программному обеспечению или оборудованию. Многие SIP-телефоны позволяют динамически назначать порты для сигнализации и голоса. При необходимости настройки firewall такую «автоматику» необходимо выключить и задать порты вручную.
! Ни в каких настройках не должно быть упоминаний никаких IP-адресов, принадлежащих SIPNET.
При использовании маршрутизатора с NAT нет никакой необходимости в дополнительной фильтрации входящего трафика по портам, т.е. не стоит включать firewall в дополнение к NAT. Инициатором соединения всегда является локальное устройство — компьютер с программой SIP-телефонии или SIP-устройство (телефон или адаптер). Достаточно позволить NAT-устройству использовать его алгоритм по умолчанию — если для локального устройства разрешен исходящий трафик, то и входящий (ответный) трафик в его сторону также разрешен.
SIP-порт — что это такое, как настроить
При организации IP-телефонии применяется SIP-протокол (помимо нескольких других). Именно через него осуществляется передача информации, необходимой для установления соединения (сеанса связи) между абонентами (конечными точками), его поддержания, внесения изменений, завершения и так далее. Естественно, для передачи данных с помощью этого протокола используются какие-то порты. Давайте рассмотрим, что это такое, что собой представляют порты для SIP, какая информация через них передается и каким образом происходит их настройка.
Определение SIP-port и его функции
SIP — это порты для IP телефонии, через которые осуществляется прием и передача информации, касающейся сеанса связи/соединения. Т.е. сами мультимедиа данные (речь, видео, картинки и пр.) через эти порты не передаются. Через SIP-ports циркулируют информационные запросы и ответы, необходимые для создания простейшего вызова по IP-сети и его поддержания.
Существует несколько типов запросов:
- инициирование вызова (INVITE ),
- подтверждение установления сеанса связи (ACK) от конечной точки, получившей INVITE,
- отмена запросов, которые стали неактуальными (Cancel),
- завершение текущего соединения/сеанса (BYE),
- регистрация места расположения конечной точки (Register),
- запрос данных о функциональных возможностях конечной точки (OPTIONS), который отправляется.
Ответы, проходящие через порты для SIP, описывают состояние соединения. Они имеют вид трехзначного индекса, первая цифра которого определяет тип ответа. Например, ответ 1xx сообщает о ходе выполнения отправленного запроса. Это — единственный тип ответа, который не завершает запрос. Отправка всех остальных означает завершение запроса. А это следующие типы ответов:
- 2xx. Ответ передается при успешном окончании полученного ранее запроса.
- 3хх. Передается в случае изменения местоположения конечной точки в ходе сеанса.
- 4хх. Традиционно, ответы, начинающиеся с четверки, используются для сообщения о возникающих ошибках.
- 5хх. Аналогично предыдущему варианту: ответы об ошибках на стороне сервера.
- 6хх. Такой ответ формируется SIP-сервером, если установление сеанса с вызываемой конечной точкой невозможно. Причины этого могут быть разными: пользователь занят (уже участвует в другом созвоне), недоступен или вообще не зарегистрирован (неверный номер).
Номера портов для SIP-соединения, как их настроить
Для передачи информации для установления соединения между абонентами и его поддержания (т.е. данных, циркулирующих через SIP-протокол) обычно используется 2 порта (они же — SIP ports) 5060 и 5061. Между ними есть некоторые различия. SIP-порт 5060 имеет следующие отличительные особенности:
- Он используется в случае, когда в ходе сеансов связи осуществляется передача незашифрованного трафика,
- При работе по нему используются TCP и UDP-соединения, что обеспечивает должный уровень защиты данных,
- Этот порт используется в большинстве случаев при совершении VoIP-звонков.
Что касается порта 5061, он применяется в случае, когда речь идет об обмене зашифрованным трафиком. При этом применяется только TCP-соединение.
Проброс портов для SIP
Внутри сети все работает с использованием порта 5061. А вот при организации связи с помощью IP-телефонии, чтобы для вашей инфраструктуры была обеспечена возможность «общения» с конечными точками извне, необходим проброс портов:
- Для исходящего и входящего SIP-трафика для IP-телефонов (софтофонов, обычных телефонов, подключенных к сети через SIP-адаптер и т.д.). Исходящий и входящий SIP-трафик передается с/на порт 5060 на/с портов 1024-65535.
- Для исходящего и входящего RTP-трафика для указанных выше абонентских устройств. Для этого задействуются порты из диапазона1024-65535.
- Для исходящего и входящего трафика с IP-телефона. Передача осуществляется с/на порта 69 на/с порты 1024-65535.
Не 5060 и 5061 едиными
5060 и 5061 можно назвать «традиционными» SIP-портами. Одновременно с этим может возникать и ряд проблем с безопасностью. Угадайте, по каким портам хакеры попытаются проникнуть в вашу SIP-сеть в первую очередь? Правильно, именно по 5060 и 5061. Поэтому часто провайдеры, предоставляющие услуги в области IP-телефонии используют другие номера портов. Благо, применение 5060 и 5061 нигде декларативно не прописано, и нет обязанности применять только их для организации SIP-соединения.
Например, один из крупнейших российских провайдеров IP-телефонии для предотвращения взлома IP АТС на базе программной АТС Asterisk практикует использование для SIP порта 6655 и других. Кроме того, для повышения уровня защищенности применяются такие меры, как:
- Изменение портов IAX и SSH, установленных по умолчанию,
- Запрет подключения по рабочим портам для произвольных IP-адресов. Устанавливается в firewall,
- Ограничение списков адресов и сетей, с которых к IP АТС могут подключаться адаптеры и IP-телефоны,
- Ограничение списка доступных стран и направлений.
Конечно, это далеко не полный список мер по правильному использованию SIP- и других портов, а также технологий для обеспечения высоких показателей безопасности SIP-телефонии. Подробнее узнавайте непосредственно у провайдера. Например, у «Телфин» общий список мер включает более десяти позиций.
Итак, из вышеизложенного можно понять, что SIP-порты обеспечивают сеансы связи, но не применяются непосредственно для передачи мультимедиа в ходе общения между абонентами (конечными точками). Несмотря на то, что 5060 и 5061 порты применяются практически повсеместно, они не являются строго обязательными к использованию, можно (и нужно для обеспечения безопасности) использовать для обмена данными о параметрах соединений по SIP-протоколу и другие номера. Пользуйтесь SIP-протоколом правильно, и получайте уверенность в том, что ваша инфраструктура защищена от преступных посягательств.
Port 5060 Details
Microsoft Lync server uses these ports:
444, 445, 448, 881, 5041, 5060 — 5087, 8404 TCP
80, 135, 443, 4443, 8060, 8061, 8080 TCP — standard ports and HTTP(s) traffic
1434 UDP — SQL
49152-57500 TCP/UDP — media portsSiemens Openstage and Gigaset phones use the following ports:
389/tcp LDAP
636/tcp LDAPS
5010/tcp — RTP
5060/tcp — SIP gateway, backup proxy
8085/tcp — DLS
18443/TCP and 18444/TCP — provisioning over TLS (HTTPS)Memory leak in the NAT implementation in Cisco IOS 12.1 through 12.4 and 15.0 through 15.1, and IOS XE 3.1.xSG, allows remote attackers to cause a denial of service (memory consumption or device reload) by sending crafted SIP packets to UDP port 5060, aka Bug ID CSCtj04672.
References: [CVE-2011-3280]The provider-edge MPLS NAT implementation in Cisco IOS 12.1 through 12.4 and 15.0 through 15.1, and IOS XE 3.1.xSG, allows remote attackers to cause a denial of service (device reload) via a malformed SIP packet to UDP port 5060, aka Bug ID CSCti98219.
References: [CVE-2011-3279]Unspecified vulnerability in the NAT implementation in Cisco IOS 12.1 through 12.4 and 15.0 through 15.1, and IOS XE 3.1.xSG, allows remote attackers to cause a denial of service (device reload) by sending crafted SIP packets to UDP port 5060, aka Bug ID CSCti48483.
References: [CVE-2011-3278]Unspecified vulnerability in the NAT implementation in Cisco IOS 12.1 through 12.4 and 15.0 through 15.1, and IOS XE 3.1.xSG, allows remote attackers to cause a denial of service (device reload or hang) by sending crafted SIP packets to TCP port 5060, aka Bug ID CSCso02147.
References: [CVE-2011-3276], [BID-49822]Unspecified vulnerability in Cisco TelePresence C Series Endpoints, E/EX Personal Video units, and MXP Series Codecs, when using software versions before TC 4.0.0 or F9.1, allows remote attackers to cause a denial of service (crash) via a crafted SIP packet to port 5060 or 5061, aka Bug ID CSCtq46500.
References: [CVE-2011-2577] [BID-49392]Siemens C450 IP and C475 IP VoIP devices allow remote attackers to cause a denial of service (disconnected calls and device reboot) via a crafted SIP packet to UDP port 5060.
References: [CVE-2008-7065] [BID-32451] [SECUNIA-32827] [OSVDB-50274]The Grandstream HT-488 0.1 allows remote attackers to cause a denial of service (device crash) via a flood of fragmented packets to port 5060.
References: [CVE-2007-5789], [BID-26349]Memory leak in Cisco Unified Communications Manager IM and Presence Service before 8.6(5)SU1 and 9.x before 9.1(2), and Cisco Unified Presence, allows remote attackers to cause a denial of service (memory and CPU consumption) by making many TCP connections to port (1) 5060 or (2) 5061, aka Bug ID CSCud84959.
References: [CVE-2013-3453]Cisco Unified Communications Manager (Unified CM) 8.5(x) and 8.6(x) before 8.6(2a)su3 and 9.x before 9.1(1) does not properly restrict the rate of SIP packets, which allows remote attackers to cause a denial of service (memory and CPU consumption, and service disruption) via a flood of UDP packets to port 5060, aka Bug ID CSCub35869.
References: [CVE-2013-3461]Cisco TelePresence Video Communication Server is vulnerable to a denial of service, caused by the improper handling of messages by the Session Initiation Protocol (SIP) module. By sending a specially-crafted Session Description Protocol (SDP) message to UDP and TCP port 5060, a remote attacker could exploit this vulnerability to cause the device to reload.
References: [CVE-2014-0662], [BID-65076], [XFDB-90621]innovaphone is vulnerable to a denial of service, caused by improper bounds checking by protocol SIP/UDP. By sending a specially-crafted SIP request to the open 5060/UDP port, an remote attacker could exploit this vulnerability to cause the VoIP phone to crash and restart.
References: [XFDB-111764]A vulnerability in the Network Address Translation (NAT) Session Initiation Protocol (SIP) Application Layer Gateway (ALG) of Cisco IOS XE Software could allow an unauthenticated, remote attacker to cause an affected device to reload. The vulnerability is due to improper processing of SIP packets in transit while NAT is performed on an affected device. An unauthenticated, remote attacker could exploit this vulnerability by sending crafted SIP packets via UDP port 5060 through an affected device that is performing NAT for SIP packets. A successful exploit could allow an attacker to cause the device to reload, resulting in a denial of service (DoS) condition.
References: [CVE-2018-0476], [BID-105419]Notes:
Port numbers in computer networking represent communication endpoints. Ports are unsigned 16-bit integers (0-65535) that identify a specific process, or network service. IANA is responsible for internet protocol resources, including the registration of commonly used port numbers for well-known internet services.
Well Known Ports: 0 through 1023.
Registered Ports: 1024 through 49151.
Dynamic/Private : 49152 through 65535.TCP ports use the Transmission Control Protocol, the most commonly used protocol on the Internet and any TCP/IP network. TCP enables two hosts to establish a connection and exchange streams of data. TCP guarantees delivery of data and that packets will be delivered in the same order in which they were sent. Guaranteed communication/delivery is the key difference between TCP and UDP.
UDP ports use the Datagram Protocol. Like TCP, UDP is used in combination with IP (the Internet Protocol) and facilitates the transmission of datagrams from one computer to applications on another computer, but unlike TCP, UDP is connectionless and does not guarantee reliable communication; it’s up to the application that received the message to process any errors and verify correct delivery. UDP is often used with time-sensitive applications, such as audio/video streaming and realtime gaming, where dropping some packets is preferable to waiting for delayed data.
When troubleshooting unknown open ports, it is useful to find exactly what services/processes are listening to them. This can be accomplished in both Windows command prompt and Linux variants using the «netstat -aon» command. We also recommend runnig multiple anti-virus/anti-malware scans to rule out the possibility of active malicious software. For more detailed and personalized help please use our forums.
База знаний
SIP расшифровывается как Session Initiation Protocol — протокол инициирования сеанса, это протокол, разработанный IETF для VOIP и для других сеансов передачи текста или мультимедиа данных, например, таких как, системы обмена мгновенными сообщениями, видео, игры в реальном времени и другие сервисы.
Этот документ описывает Session Initiation Protocol (SIP), протокол контроля и сигнализации уровня приложения для создания, модификации, и завершения сеансов с одним или несколькими участниками. Эти сеансы включают в себя: телефонные вызовы через Интернет, презентация мультимедийных данных, и мультимедийные конференции.
При создании сеансов, используется SIP приглашение с описанием сессии, что позволяет участникам подтвердить совместимость используемых настроек для передачи медиаданных. SIP дает возможность использования таких элементов, как прокси сервер, в функции которого входит помощь в доставке запросов к конечному пользователю, установка подлинности и разграничение доступа пользователей к различным сервисам, поддерживает правила маршрутизацию вызовов, задаваемых провайдерами, а также поддерживает различные возможности, ориентированные на конечных пользователей. Так же в протоколе SIP имеется механизм регистрации, который дает возможность пользователям подключаться из своего текущего местоположения к сервисам, через прокси сервер. Протокол SIP может использовать несколько основных протоколов различного транспортного уровня.
SIP очень похож на протокол HTTP, используемый для Web приложений, или на SMTP (обмен почтовыми сообщениями). Сообщения состоят из заголовков и тела сообщения. Содержание тела SIP сообщения для телефонных вызовов описывается в SDP: session description protocol — протокол описания сеанса.
- SIP — это протокол, использующий текстовые сообщения, в которых используется кодировка UTF-8.
- SIP использует номер порта 5060, как для коммуникации по протоколу UDP, так и для TCP. Для SIP могут использоваться другие способы передачи данных.
- передача вызовов или мультимедийных данных
- конференцсвязь
- удержание вызовов
Также, протокол SIP может преодолевать ограничение, связанные с использованием NAT или файрволов. (Обратите внимание на раздел: NAT and VOIP)
Протокол SIP
Принципы протокола SIP
Протокол инициирования сеансов – Session Initiation Protocol (SIP) является протоколом прикладного уровня и предназначается для организации, модификации и завершения сеансов связи: мультимедийных конференций, телефонных соединений и распределения мультимедийной информации. Пользователи могут принимать участие в существующих сеансах связи, приглашать других пользователей и быть приглашенными ими к новому сеансу связи. Приглашения могут быть адресованы определенному пользователю, группе пользователей или всем пользователям.
Протокол SIP разработан группой MMUSIC (Multiparty Multimedia Session Control) комитета IETF (Internet Engineering Task Force), а спецификации протокола представлены в документе RFC 2543]. В основу протокола рабочая группа MMUSIC заложила следующие принципы:
- Персональная мобильность пользователей. Пользователи могут перемещаться без ограничений в пределах сети, поэтому услуги связи должны предоставляться им в любом месте этой сети. Пользователю присваивается уникальный идентификатор, а сеть предоставляет ему услуги связи вне зависимости от того, где он находится. Для этого пользователь с помощью специального сообщения – REGISTER – информирует о своих перемещениях сервер определения местоположения/сервер регистраций.
- Масштабируемость сети. Она характеризуется, в первую очередь, возможностью увеличения количества элементов сети при её расширении. Серверная структура сети, построенной на базе протокола SIP, в полной мере отвечает этому требованию.
- Расширяемость протокола. Она характеризуется возможностью дополнения протокола новыми функциями при введении новых услуг и его адаптации к работе с различными приложениями.
Расширение функций протокола SIP может быть произведено за счет введения новых заголовков сообщений, которые должны быть зарегистрированы в уже упоминавшейся ранее организации IANA. При этом, если SIP,сервер принимает сообщение с неизвестными ему полями, то он просто игнорирует их и обрабатывает лишь те поля, которые он знает.
Для расширения возможностей протокола SIP могут быть также добавлены и новые типы сообщений.
Интеграция в стек существующих протоколов Интернет, разработанных IETF. Протокол SIP является частью глобальной архитектуры мультимедиа, разработанной комитетом Internet Engineering Task Force IETF. Эта архитектура включает в себя также протокол резервирования ресурсов (Resource Reservation Protocol – RSVP, RFC 2205), транспортный протокол реального времени (Real,Time Transport Pro,tocol – RTP, RFC 1889), протокол передачи потоковой информации в реальном времени (Real,Time Streaming Protocol – RTSP, RFC 2326),
протокол описания параметров связи (Session Description Protocol – SDP, RFC 2327). Однако функции протокола SIP не зависят ни от одного из этих протоколов.Взаимодействие с другими протоколами сигнализации. Протокол SIP может быть использован совместно с протоколом Н.323. Возможно также взаимодействие протокола SIP с системами сигнализации ТфОП – DSS1 и ОКС7. Для упрощения такого взаимодействия сигнальные сообщения протокола SIP могут переносить не только специфический SIP адрес, но и телефонный номер формата Е.164 или любого другого формата. Кроме того, протокол SIP, наравне с протоколами H.323 и ISUP/IP, может применяться для синхронизации работы устройств управления шлюзами; в этом случае он должен взаимодействовать с протоколом MGCP. Другой важной особенностью протокола SIP является то, что он приспособлен к организации доступа пользователей сетей IP телефонии к услугам интеллектуальных сетей, и существует мнение, что именно этот протокол станет основным при организации связи между указанными сетями.
Методы SIP протокола, определенные в SIP RFC.
В протоколе SIP определено несколько методов, используемых при коммуникации.
- метод SIP: invite : Приглашение другого UA (участника) начать сеанс
- метод SIP: re-invite: Изменение параметров запущенного сеанса
- метод SIP: register: Зарегистрировать свое местоположение в сети, используя SIP сервер регистрации
- метод SIP: ack: Используется для подтверждения приема сообщений INVITE при их обмене.
- метод SIP: cancel: Отмена приглашения о начале сеанса
- метод SIP: bye: Завершение сеанса связи
- метод SIP: options
Расширенные методы SIP протокола из других RFC:
- SIP method info: Расширение протокола, описанное в RFC 2976
- SIP method notify: Расширение протокола, описанное в RFC 2848PINT
- SIP method subscribe: Расширение протокола, описанное в RFC 2848PINT
- SIP method unsubscribe: Расширение протокола, описанное в RFC 2848PINT
- SIP method update: Расширение протокола, описанное в RFC 3311
- SIP method message: Расширение протокола, описанное в RFC 3428
- SIP method refer: Расширение протокола, описанное в RFC 3515
- SIP method prack: Расширение протокола, описанное в RFC 3262
- SIP Specific Event Notification: Расширение протокола, описанное в RFC 3265
- SIP Message Waiting Indication: Расширение протокола, описанное в RFC 3842
- SIP method PUBLISH: Расширение протокола, описанное в RFC 3903
Ответы на SIP сообщения
После приема и интерпретации запроса, адресат (прокси сервер) передает ответ на этот запрос. Содержание ответов бывает разным:
подтверждение установления соединения, передача запрошенной информации, сведения о неисправностях и т.д.
Структуру ответов и их виды протокол SIP унаследовал от протокола НТТР.Определено шесть типов ответов, несущих разную функциональную нагрузку. Тип ответа кодируется трехзначным числом. Самой важной является первая цифра, которая определяет класс ответа, остальные две цифры лишь дополняют первую. В некоторых случаях оборудование даже может не знать все коды ответов, но оно обязательно должно интерпретировать первую цифру ответа.