asterisk.ru

Всем привет.
ситуация следующая: в sip.conf прописываю пир скажем с именем test указываю host=ip,default=ip,insecure=no,context=from_test. Пир с таким адресом существует и статус ОК. Затем софтфоном, не регистрируясь на астериске, звоню на этот астериск на какой ни будь номер от имени test. Астериск не запрашивая авторизации пропускает звонок. Вылечить я так понимаю можно всем статичискми пирам прописывать правила deny/allow. Но может есть какой ни будь правильный(менее трудоемкий - пиров очень много) ход, или я что не так делаю? Пробовал на 1.4, 1.8 и 11ветках.
Вот конфиги
sip.conf

[general]
Language=ru
context=default ; Default context for incoming calls
externalauth=yes
allowguest=no ; Allow or reject guest calls (default is yes)
canreinvite=yes
bindport=5060 ; UDP Port to bind to (SIP standard port for unencrypted UDP
dtmfmode=rfc2833
bindaddr=0.0.0.0 ; IP address to bind UDP listen socket to (0.0.0.0 binds to all)

[test]
type=friend
defaultip=192.168.112.216
host=192.168.112.216
nat=yes
qualify=yes
insecure=port,invite
canreinvite=no
context=from_test
disallow=all
allow=alaw

да, во всех статичных всегда deny/permit

v1t83 писал(а):ситуация следующая: в sip.conf прописываю пир скажем с именем test указываю host=ip,default=ip,insecure=no,context=from_test. Пир с таким адресом существует и статус ОК. Затем софтфоном, не регистрируясь на астериске, звоню на этот астериск на какой ни будь номер от имени test. Астериск не запрашивая авторизации пропускает звонок.

v1t83б Вы не до конца понимает механизм работы SIP.
Регистрация никак не связана с возможностью совершать вызовы.
Вы можете зарегистрировать например софтфон 101 с паролем mypassword на вашем Астериске,
а потом позвонить с теми же данными 101 с паролем mypassword без регистрации с другого, третьего, четвёртого софтфона.

Регистрация - отдельный процесс, запрос REGISTER 101 с паролем mypassword - ответ - ОК! Готово, завершён, статус ОК.
А звонок - пакет INVITE с теми же данными 101 с паролем mypassword.

v1t83, а для чего такой изврат если не секрет?

короче, регистрация нужна только для того чтоб иметь возможность принимать вызовы.
исходящие можно и без запросов регистрации делать (есть софтсвичи абанутые, которые этого сделать не позволят, но в общем случае можно).

ded писал(а): Регистрация - отдельный процесс, запрос REGISTER 101 с паролем mypassword - ответ - ОК! Готово, завершён, статус ОК.
А звонок - пакет INVITE с теми же данными 101 с паролем mypassword.

Да, но это елси шлюз динамический, а если я он статический и я его привязываю как host=ip без логина/пароля, то потом послав invite с этим именем (без пароля) я смогу сделать звонок с любого айпишника.

Zavr2008 писал(а):v1t83, а для чего такой изврат если не секрет?

Не совсем понял про какой изврат Вы говорите.

Лично по моему мнению, если я завожу шлюз и называю его в астериске как то для себя (например cisco), и прописываю параметр host=ip, то дополнительно еще прописывать deny/permit, что бы ни кто не мог позвонить от имени cisco, это более баг нежели фича

Баг у Вас в голове. Разберитесь уже в аутентификации пиров, френдов и юзеров.
Основы SIP безопасности.

ded, из Вашего сообщения видно что где то, в том что я описал выше, я не прав. В чем конкретно я ошибаюсь?

Ваше утверждение, что это баг - неверно. В этом Вы ошибаетесь. Поясню на примере: вот у вас есть Master card. Для покупки в интернете с её помошью нужно ввести её номер и CVS код (ну и срок действия). Имя на карточке не имеет никакого особого значения (если только не будут распутывать преступления по кардингу). Для простоты приравняем номер карты и CVS код к username & secret в случе со звонком по SIP.
Если Вы передадите кому либо (или кто-то украдёт, подсмотрит) номер карты и CVS, то он точно так же может совершать покупки. Это фича или баг? Теперь сравните со своим утверждением -

послав invite с этим именем (без пароля) я смогу сделать звонок с любого айпишника.

Вы думаете, что транзакции SIP более защищены, чем транзакции денежные? По возможносям защиты - таки да.

Вот теперь понял. И опять же я не утверждал, а просто высказал свое мнение (которе ни кому не навязываю), что если уж я прописал для пира параметр host, то еще и указывать что звонки с данным username могут совершаться только с этого адреса это уже излишне, так как и так это подразумевается. Может конечно и есть такая необходимость, просто я ее не вижу