大型IP电话安全设计

大厦模块

　　服务器模块的主要目标是向最终用户和设备提供应用和语音服务。

1．主要IP电话设备

·第3层交换机——第3层交换机在服务器模块内路由和交换数据、语音和管理流量，并支持流量过滤和NIDS等先进服务。

·公司服务器——公司服务器为内部用户提供电子邮件和语音邮件服务，并为工作站提供文件、打印和DNS服务。

·呼叫处理管理器——呼叫处理管理器为网络中的IP电话设备提供语音服务。

·状态防火墙——状态防火墙为呼叫处理器提供网络级保护，包括对流量进行状态过滤、DoS预防和欺诈预防。

·代理服务器——为IP电话提供数据服务。

2．保护语音安全的措施

·包窃听/呼叫截获——交换式基础设施能有效地预防窃听。

·非授权访问——这种访问可以通过HIDS和应用访问控制有效消除。

·呼叫者身份欺诈——向管理员通报未知设备。

·话费欺诈——呼叫处理管理器不允许配置未知电话，访问控制只允许已知电话网相互通信。

·否认——呼叫处理管理器的呼叫设置记录能提供某种防否认功能。

·IP欺诈——IP欺诈在第3层交换机和状态防火墙上提供RFC 2827和1918过滤器。

·应用层攻击——为操作系统、设备和应用提供最新安全修复，多数服务器还受到HIDS的保护。

·拒绝服务——将语音和数据网分开能显著减少受攻击的可能性。状态防火墙TCP设置能控制保留给呼叫处理管理器和代理服务器的内容。

·信任关系利用——通过有限信任模式和专用VLAN预防基于信任关系的攻击。

3．设计指南

　　服务器模型包括IP电话所需的所有语音服务。驻留在分离网段中的呼叫处理管理器、代理服务器、语音邮件和邮件系统不但能适应大型企业的需要，还能提供分层安全性。所有服务都安装了HIDS代理，服务器模块中的所有流量都接受第3层交换机IDS的检查，呼叫处理网段受到状态防火墙保护。

　　服务分离能大大提高可扩展性和安全性。并减少出现配置错误的机会。任何其他流量都将遭到拒绝并记录在案，如果NIDS探测到异常情况，系统将借助原理章节中列出的说明发出警报。HIDS能够探测到邮件、语音邮件或呼叫处理设备中的异常情况。代理服务器与呼叫处理管理器处于同一个VLAN上，但专用VLAN用于防止本地信任关系利用攻击。

　　限制扩展能力的是呼叫处理管理器和语音邮件系统支持的IP电话设备的数量。在这种设计中，性能不是问题，因为所有必要的服务都在本地的快速以太网交换网上提供，只有通过WAN使用本地服务的某些远程站点例外。

　　这个模块也提供第2层和第3层弹性配置。添加语音服务后实现了高可用性。两个状态防火墙将受保护的呼叫处理管理器网段与服务器模块中的两台第3层交换机连接在一起。内部网段的第2层弹性不但表现在防火墙的内部接口与两台第2层交换机之间，还表现在双接口呼叫处理器上。在这种配置中，每个呼叫处理管理器都使用两块网络接口卡，这两块接口卡处在同一个网络中，各与一台交换机相连。

　　对于IP电话，所有语音服务器都应该支持多个接口。语音服务是网络的关键组件，限制对语音服务的访问是预防攻击的关键。这种设计使用了第3层和第4层过滤，以便限制已知管理系统对语音服务器的管理。应用级安全性用于为管理流量提供保密和用户认证。

　　还有一种选择是将其他DMA网段的语音邮件系统放置在状态防火墙上。这种设置能够在电话设备和语音邮件系统之间执行状态检查和过滤，而不是使用目前的无状态过滤。这种方法还能为语音邮件系统提供DoS预防，并在它与数据网中的邮件服务器之间提供状态检查。这种方法的唯一缺点是增加了配置的复杂性。

网络世界(cnw.ccw.com.cn)