Probleme d'attaque sur mon server ASTERISK sur le CLOUD

[Sebindia]

Bonjours,
je viens d'installer un IPBX Asterisk sur le cloud sur un VPS ovh.
Je viens de créer un utlisateur dans le fichier sip.conf et fait mon plan de numérotation dans le fichier extensions.conf
je n'arrive pas à faire reconnaitre mon tel par asterisk, et donc pour voir si mon tel est reconnue par mon server
je suis allé dans asterisk -rvvv
Et là je suis stupéfait de voir des tentative de communicatin de la part de numéro de tel et adresse ip inconnu de ma part
Quelqu'un peut m'aider?
merci

[jean]

regarde ma signature

[Sebindia]

Merci pour toutes ces informations
seulement je suis sur le cloud est donc j'ai besoins d'avoir ouvert plusieur ports différents d'aprés les prérequis du fournisseur du trunk sip
de plus je n'arrvie pas à ouvrir ses port.

[tanguyd]

Bonjour

Les conseils de Jean sont d'ordre général, et s'appliquent en partie même sur un serveur cloud. Que veux tu dire quand tu dis ne pas arriver a ouvrir des ports ? Que ce passe t'il ? Tu ouvres bien en d'UDP et pas TCP ?

Même si tu est sur du cloud, peut être peux tu limiter les ouvertures de ports a certaines plages IP ( tout dépend de la nature de tes utilisateurs )

[Sebindia]

Bonjours,
en fait le vrai soucis est que je n'arrive pas à faire des appels entrant et sortant pourtant le trunk sip est bien enregistré.Que cela soit du côté serveur que du côté asterisk.
j'ai donc supposé qu'il fallait ouvrir certains ports sur le serveur.
Voila le message indiqué dans le CLI lorsque j'effectue un appel vers l'exterieur

[Apr 19 14:50:55] WARNING[5302][C-00000000]: chan_sip.c:11035 process_sdp_a_audio: Got Siren7 offer at 24000 bps, but only 32000 bps supported; ignoring.
-- Executing [0685082368@interne:1] NoOp("SIP/MITEL-B-00000000", "") in new stack
-- Executing [0685082368@interne:2] Dial("SIP/MITEL-B-00000000", "SIP/serveurcom/0685082368") in new stack
[Apr 19 14:50:55] WARNING[5318][C-00000000]: app_dial.c:2437 dial_exec_full: Unable to create channel of type 'SIP' (cause 20 - Subscriber absent)
== Everyone is busy/congested at this time (1:0/0/1)
-- Auto fallthrough, channel 'SIP/MITEL-B-00000000' status is 'CHANUNAVAIL'

[jean]

- en l'état, le peer: serveurcom n'est pas en ligne

- pour le sortant, pas besoin d'ouvrir le firewall, le paquet invite que tu vas envoyer au fournisseur va ouvrir le chemin retour (règle related,established)

- pour l'entrant, il est possible (sage...) de restreindre le port 5060 à l'ip de ton fournisseur, mais souvent, ce n'est pas nécéssaire - en mettant qualify=yes et qualifyfreq=30, ton serveur va envoyer un paquet toutes les 30 secondes, ce qui, en présence de la classique regle related,established, autorisera un retour, donc un appel entrant

[Sebindia]

Merci d'avoir était aussi réactif.
Je comprend à peu prés ce que tu me conseil
Mais je ne comprends :en l'état, le peer: serveurcom n'est pas en ligne.
que veut dire le peer n'est pas en ligne.
comment remédier à cela

[jean]

Il n'y a pas eu d'enregistrement du peer [serveurcom] - il faut voir comment ton provider demande de configurer ton serveur

[Sebindia]

Et bien en fait j'ai reçu un tuto du fournisseur (serveurcom)
Et je l'ai suivi et visiblement cela fonctionne correctement de leur côté le serveur asterisk est enregistré.

Voici le fichier sip.conf avec juste la conf du trunk-sip


[serveurcom]
username = XXXX
type = peer
outboundproxy = sip.eqinoxe.com
todomain = pbx.eqinoxe.com
secret = password
quality = yes
insecure = port,invite
fromdomain = pbx.eqinoxe.com
dtmfmode = rfc2833
canreinvite = no
qualifreq = 3600
disallow = ulaw
context = trunk-entrant


register => XXXX:password@pbx.eqinoxe.com

[jean]

- le register doit etre dans la section [general]
- ne pas ouyblier sip reload
- que donne ensuite sip show peers

[Sebindia]

Bonjour,
merci pour les réponses.
-Pour le register:
effectivement j'ai bien mis dans la section [generale]

-je recharge bien effectivement le sip.conf en faisant sip reload

-Et voila pour le sip show peers

vps390372*CLI> sip show peers
Name/username Host Dyn Forcerport Comedia ACL Port Status Description
MITEL/MITEL 46.218.33.245 D Auto (No) No 5060 Unmonitored Mitel atelier A
MITEL-B/MITEL-B 46.218.33.245 D Auto (No) No 1024 Unmonitored Mitel atelier B
XLITE (Unspecified) D Auto (No) No 0 Unmonitored SoftPhone Xlite pc seb
serveurcom/avelia (Unspecified) Auto (No) No 0 Unmonitored
4 sip peers [Monitored: 0 online, 0 offline Unmonitored: 2 online, 2 offline]
-- Registered SIP 'MITEL' at 46.218.33.245:1024
-- Registered SIP 'MITEL-B' at 46.218.33.245:5060

[Sebindia]

Bonjour,merci pour les reponses

-Pour le register c'est bien dans la section [general] que c'est placé

-Le rechargement du fichier sip.conf à bien était effectué comme suit sip reload dans le CLI

-Et voici le voici ce que donne le sip show peers

vps390372*CLI> sip show peers
Name/username Host Dyn Forcerport Comedia ACL Port Status Description
MITEL/MITEL 46.218.33.245 D Auto (No) No 5060 Unmonitored Mitel atelier A
MITEL-B/MITEL-B 46.218.33.245 D Auto (No) No 1024 Unmonitored Mitel atelier B
XLITE (Unspecified) D Auto (No) No 0 Unmonitored SoftPhone Xlite pc seb
serveurcom/avelia (Unspecified) Auto (No) No 0 Unmonitored
4 sip peers [Monitored: 0 online, 0 offline Unmonitored: 2 online, 2 offline]
-- Registered SIP 'MITEL' at 46.218.33.245:1024
-- Registered SIP 'MITEL-B' at 46.218.33.245:5060

[jean]

l'absence d'ip sur la ligne serveurcom montre que le register ne marche pas - en toute logique, il devrait y avoir des messages d'erreurs sur la console...

sinon, depuis une session unix, un petit
tcpdump -X port 5060 and host sip.eqinoxe.com

permet de voir le trafic -il faut dans une autre console faire un sip reload, et voir ce qui part et ce qui revient

[Sebindia]

Bonjour,
je viens de faire les commande que tu m'as conseiller et voici le résultat que je n'arrive pas à interpréter.


0x02d0: 2c20 6170 706c 6963 6174 696f 6e2f 6474 ,.application/dt
0x02e0: 6d66 2d72 656c 6179 0d0a 0d0a mf-relay....
17:22:26.719426 IP 180.ip-92-222-36.eu.sip > xdsl.185.48.253.8.srvc.fr.sip: SIP: SIP/2.0 200 OK
0x0000: 4500 0283 d04f 0000 4011 704f 5cde 24b4 E....O..@.pO\.$.
0x0010: b930 fd08 13c4 13c4 026f 3a4c 5349 502f .0.......o:LSIP/
0x0020: 322e 3020 3230 3020 4f4b 0d0a 5669 613a 2.0.200.OK..Via:
0x0030: 2053 4950 2f32 2e30 2f55 4450 2031 3835 .SIP/2.0/UDP.185
0x0040: 2e34 382e 3235 332e 383a 3530 3630 3b62 .48.253.8:5060;b
0x0050: 7261 6e63 683d 7a39 6847 3462 4b2b 3438 ranch=z9hG4bK+48
0x0060: 3465 3331 3430 6563 3566 6538 3165 6361 4e3140ec5fe81eca
0x0070: 3762 6465 3963 3536 3863 3961 6361 312b 7bde9c568c9aca1+
0x0080: 7369 702b 312b 6439 3766 3662 6634 3b72 sip+1+d97f6bf4;r
0x0090: 6563 6569 7665 643d 3138 352e 3438 2e32 eceived=185.48.2
0x00a0: 3533 2e38 0d0a 4672 6f6d 3a20 3c73 6970 53.8..From:.<sip
0x00b0: 3a61 7665 6c69 6140 3130 2e32 3530 2e30 :avelia@10.250.0
0x00c0: 2e31 3335 3e3b 7461 673d 3138 352e 3438 .135>;tag=185.48
0x00d0: 2e32 3533 2e38 2b31 2b39 6232 3732 6461 .253.8+1+9b272da
0x00e0: 622b 6365 3062 3636 3364 0d0a 546f 3a20 b+ce0b663d..To:.
0x00f0: 3c73 6970 3a61 7665 6c69 6140 7062 782e <sip:avelia@pbx.
0x0100: 6571 696e 6f78 652e 636f 6d3e 3b74 6167 eqinoxe.com>;tag
0x0110: 3d61 7333 6635 6565 3031 320d 0a43 616c =as3f5ee012..Cal
0x0120: 6c2d 4944 3a20 3067 5141 4143 3857 4141 l-ID:.0gQAAC8WAA
0x0130: 4143 4241 4141 4c78 5941 414c 6176 494e ACBAAALxYAALavIN
0x0140: 7734 4d77 6852 784e 4535 6c4f 7273 6844 w4MwhRxNE5lOrshD
0x0150: 3072 7351 3255 6e53 6236 5670 6743 4d72 0rsQ2UnSb6VpgCMr
0x0160: 3067 4e73 7472 4031 3835 2e34 382e 3235 0gNstr@185.48.25
0x0170: 332e 380d 0a43 5365 713a 2037 3838 3632 3.8..CSeq:.78862
0x0180: 3432 3134 204f 5054 494f 4e53 0d0a 5365 4214.OPTIONS..Se
0x0190: 7276 6572 3a20 4173 7465 7269 736b 2050 rver:.Asterisk.P
0x01a0: 4258 2031 312e 3133 2e31 7e64 6673 672d BX.11.13.1~dfsg-
0x01b0: 322b 6465 6238 7532 0d0a 416c 6c6f 773a 2+deb8u2..Allow:
0x01c0: 2049 4e56 4954 452c 2041 434b 2c20 4341 .INVITE,.ACK,.CA
0x01d0: 4e43 454c 2c20 4f50 5449 4f4e 532c 2042 NCEL,.OPTIONS,.B
0x01e0: 5945 2c20 5245 4645 522c 2053 5542 5343 YE,.REFER,.SUBSC
0x01f0: 5249 4245 2c20 4e4f 5449 4659 2c20 494e RIBE,.NOTIFY,.IN
0x0200: 464f 2c20 5055 424c 4953 482c 204d 4553 FO,.PUBLISH,.MES
0x0210: 5341 4745 0d0a 5375 7070 6f72 7465 643a SAGE..Supported:
0x0220: 2072 6570 6c61 6365 732c 2074 696d 6572 .replaces,.timer
0x0230: 0d0a 436f 6e74 6163 743a 203c 7369 703a ..Contact:.<sip:
0x0240: 3932 2e32 3232 2e33 362e 3138 303a 3530 92.222.36.180:50
0x0250: 3630 3e0d 0a41 6363 6570 743a 2061 7070 60>..Accept:.app
0x0260: 6c69 6361 7469 6f6e 2f73 6470 0d0a 436f lication/sdp..Co
0x0270: 6e74 656e 742d 4c65 6e67 7468 3a20 300d ntent-Length:.0.
0x0280: 0a0d 0a ...


merci pour les infos

[jean]

il en manque.... il faudrait que tu copies toutes les données sur pastebin, avec une expiration - les données perso disparaitront ainsi

[Sebindia]

avec une expiration - les données perso disparaitront ainsi
désolé je ne maitrise pas suffisamment LINUX peut-tu m’expliquer la manip pour te donner les info nécessaire.
merci

[jean]

va sur pastebin.com, tout sera clair !

[Sebindia]

Bonjour, désolé du retard pour la réponse.
Voila je l'ai mis dur pastebin.com et voici le lien
https://pastebin.com/upLCDniU
merci pour la réponse

[jean]

la pge n'est plus là !

[Sebindia]

Bonjour,
je viens de refaire la capture et visible sur cette adresse
https://pastebin.com/9eYxQQXt
Cordiament

[jean]

en toute logique, il doit y avoir un échange REGISTER / UNAUTHORIZED avant, mais l'enregistrement semble bien se passer - et après, un sip show peers ne montre rien pour serveurcom ?

[Sebindia]

je comprend pas la question
je dois demandé à serveurcom
car apparemment le regester est fait de leur côté

[Sebindia]

614

Voila le Sip show peers

[Sebindia]

et le registry
615

[jean]

le register montre que tu es bien enregistré et normalement peut recevoir des appels
toutefois, il faut que dans sip show peers, l'ip de serveurcomm apparaisse - sinon, quand tu fais un dial(sip/serveurcomm/num), tu auras l'erreur Unable to create channel of type 'SIP' (cause 20 - Subscriber absent)

essaie:
register => XXXX:password@pbx.eqinoxe.com/serveurcom

[Sebindia]

vps390372*CLI> sip reload
Reloading SIP
== Using SIP RTP CoS mark 5
[Apr 25 17:11:44] WARNING[25425][C-00000007]: chan_sip.c:11035 process_sdp_a_audio: Got Siren7 offer at 24000 bps, but only 32000 bps supported; ignoring.
-- Executing [0685082368@interne:1] NoOp("SIP/MITEL-B-00000001", "") in new stack
-- Executing [0685082368@interne:2] Dial("SIP/MITEL-B-00000001", "SIP/serveurcom/0685082368") in new stack
[Apr 25 17:11:44] WARNING[25480][C-00000007]: app_dial.c:2437 dial_exec_full: Unable to create channel of type 'SIP' (cause 20 - Subscriber absent)
== Everyone is busy/congested at this time (1:0/0/1)
-- Executing [0685082368@interne:3] Hangup("SIP/MITEL-B-00000001", "") in new stack
== Spawn extension (interne, 0685082368, 3) exited non-zero on 'SIP/MITEL-B-00000001'

voila le resultat

[jean]

je sèche un peu.....
essaie en mettant en commentaire (;) la ligne outboundproxy=sip.equinoxe.com

[Sebindia]

ok je vais testé

[Sebindia]

Pb résolue par une tierce personne merci
bcq de l'aide apporté

[jean]

je serais curieux de savoir ce qui n'allait pas !

[Sebindia]

Pour le fichier sip.conf
voilà
/// supprimé pour sécurité

Pour l'extension.conf

625

je viens de créer un soft-phone android et lorsque j'appel ou j'appel avec j'ai ce message

[Apr 28 16:38:16] NOTICE[18687][C-0000004f]: chan_sip.c:25650 handle_request_invite: Call from 'ANDROID' (5.10.132.227:5060) to extension '1022' rejected because extension not found in context 'public'.
[Apr 28 16:38:16] NOTICE[18687][C-0000004f]: chan_sip.c:25650 handle_request_invite: Call from 'ANDROID' (5.10.132.227:5060) to extension '1022' rejected because extension not found in context 'public'.

je ne comprend pourquoi cela ne fonctionne pas avec le softphone sur le mobile alors qu'avec le softphone sur l'ordi cela fonctionne correctement
tu as une idée

[jean]

salut

- j'ai tenté d'effacer la copier d'écran SIP, qui montre des paramètres de connexion à ton compte chez ton fournisseur. Vérifie que c'est bien effacé, j'ai un doute

- ton poste SIP a un context défini dans sip.conf - et ce contexte n'a pas l'extension 1022 définie - note, si ton ipbx doit être ouvert sur internet, je reviens au début de la discussion, regarde le lien sur la sécurité dans ma signature

J

[Sebindia]

Bonjour
Merci mais je ne sais pas si cela à marché car moi je le voie encore comment on fait pour supprimer le fichier attaché??

[zigwik]

Bonjour,

J'ai eu les mêmes soucis avec eqinoxe.
J'arrive à passer des appels vers l'extérieur mais je ne peux présenté autres chose que le DDI du trunk.
avez-vous trouvé une solution à cela ?
Pour les appels entrant je ne peux utiliser les SDA.
Là aussi avez-vous trouver une solution.

D'avance merci.

[Sebindia]

Exactement le même problème que toi et ne trouve pas la solution.

[jean]

ce sont des restrictions opérateurs, il faut changer d'opérateur