asterisk.ru

Привет всем.

Помогите остановить бесконечный поток

"[Jul 30 20:00:01] WARNING[3103]: chan_sip.c:4118 retrans_pkt: Timeout on ac3d236df696cae9a943940ce316861f on non-critical invite transaction."

Откуда он берётся? Что в настройках sip.conf отвечает за это? В инете прочитал, что так бывает из-за insecure=invite, у себя в сип все инвайты убрал, а строки идут и идут.

Стандартно
Ломают вас.
Fail2ban в помощь

Fail2ban стоит, но почему-то не банит. Банит только тогда, когда подбирают пароли. А эти запросы пытаются сделать, не пойму как, но через инвайты. Снова включил натсройку insecure=invite после этого даже звонки пытаются сделать. Но как??? Звонят с моего SIP номера, и контекста, который не дефолтный. Гостям в сип конфе закрыт доступ. Что за дела?

Pegas12345 писал(а):Fail2ban стоит, но почему-то не банит.

ИП адрес есть, но почему-то не пингуется. Лампочка вроде хорошая, но почему-то не горит. Что за дела?

Pegas12345 писал(а):Банит только тогда, когда подбирают

В курсе, что можно создавать новые правила в fail2ban?
Чтобы увидеть причину, нужно включить sip debug.
Надеюсь разберётесь?

Pegas12345 писал(а):Fail2ban стоит, но почему-то не банит. Банит только тогда, когда подбирают пароли. А эти запросы пытаются сделать, не пойму как, но через инвайты. Снова включил натсройку insecure=invite после этого даже звонки пытаются сделать. Но как??? Звонят с моего SIP номера, и контекста, который не дефолтный. Гостям в сип конфе закрыт доступ. Что за дела?

Правила в fail2ban плохие. По умолчанию половина не работает. Нужно переписывать регулярки.

По своему свежему опыту уже несколько раз с таким сталкивался и каждый раз руки не доходили до конца.

Что мне помогло.
1. В консоли астериск (rasterisk из CLI) собрал небольшой дебаг sip (лучше всего всех реальных клиентов отключить): и забрал в блокнот (там можно будет посмотреть и User-Agent [будет нужно для блокировки] и IP вопрошающего)
Самое главное: выключите дебаг обратно: Далее, для сверки, проверил IP, с которых шли запросы с помощью (IP своих клиентов-то мы знаем): IP оказался всего 1, потому в свой firewall (в моём случае ufw - файл /etc/ufw/before.rules) добавил: , где 1.2.3.4 - IP атакующего и перезагрузил: Через 10 минут убрал правило - скан не возобновился.

Для постоянной защиты можно поставить отсекание пакетов наиболее популярных сканеров по User-Agent:
http://kipalex.ru/?p=1846 (обратите внимание на первый комментарий - там о том, что "--" заменились на тире и по поводу кавычек).

P.S.: надеюсь, что старожилы поправят, если где-то не прав и дал вредные советы.