将 SIP 和 H.323 公开到 Internet 时（可能是语音、视频和即时消息流量或所有三者）的主要问题和建议的控制措施是什么？
具体来说，在部署 SIP 和 H.323 网关时，我正在寻找防火墙/DMZ 架构的最佳实践，以及任何其他推荐的安全控制。
向 Internet 公开 SIP 和 H.323 时的主要问题和最佳实践安全控制是什么？
信息安全
网络
即时通讯
网络电话
2021-08-28 22:39:07
1个回答
Avaya 的快速两页清单基本上是供应商中立的。关键的第一步包括：
- H.235.5 用于 H.323 信令加密
- SRTP* 用于 H.323 / SIP 媒体加密（每个数据包 10 字节开销）
- 独立的 AES 加密也可用于 H.323 媒体加密
- 用于 SIP 信令加密的 TLS
- 用于语音邮件交互的 SRTP
- 用于辅助通信的 TLS
- 用于配置备份的 AES 加密
- 请注意，可以创建网络区域以将不支持加密的电话与能够加密的电话区分开来
为了设置它以维护安全性和 QoS，您将需要一个支持 H.323/SIP 的防火墙集。从这篇 SANS 论文中：
许多与 H.323 套件一起使用的协议使用随机端口，这会导致通过防火墙的安全问题，但可以通过使用直接路由呼叫来缓解。由于未设置 H.323 所需的端口，因此过滤防火墙必须打开所有可能需要的端口。因此，防火墙需要能够识别 H.323，以允许在不向其他流量开放防火墙的情况下进行通信。需要有状态防火墙和/或应用程序防火墙来确保连接特征的一致性。
支持 SIP/H.323 的防火墙数量不多，但像 Juniper、Cisco 和 Palo Alto 等通常的有状态企业防火墙似乎可以工作。
其它你可能感兴趣的问题