Al tener un servidor de VoIP debemos tomar en cuenta varias medidas de seguridad, sobre todo si estamos trabajando en servidores cloud: si no estamos protegidos podemos ver una factura telefónica bastante grande.
Vamos a repasar algunas medidas que recomiendo para nuestro servidor.
1. Cambiar el puerto 22 de SSH
El puerto por defecto para la conexión SSH es el 22. La recomendación es cambiarlo y colocar cualquier otro puerto disponible.
Vamos a editar el archivo de configuración:
nano /etc/ssh/sshd_config
Debemos buscar la línea que pone #Port 22, cambiar el 22 por el puerto que queramos configurar (por ejemplo, el 3625) y eliminar el #.
Ahora reiniciamos el servicio:
/etc/init.d/sshd restart
# o bien
service sshd restart
2. Bloquear el acceso de root por SSH
Primero debemos permitir que el usuario admin creado durante la instalación pueda usar sudo su:
nano /etc/sudoers
Buscamos la siguiente línea:
root ALL=(ALL) ALL
y agregamos debajo de esa línea la del usuario admin:
admin ALL=(ALL) ALL
Después editamos la configuración de SSH:
nano /etc/ssh/sshd_config
Buscamos la variable PermitRootLogin yes y modificamos el valor a no:
PermitRootLogin no
Ahora reiniciamos el servicio:
/etc/init.d/sshd restart
3. No permitir conexiones anónimas
En el archivo sip.conf debemos configurar los siguientes valores:
alwaysauthreject = yes
allowguest = no
4. Usar contraseñas fuertes
Debemos usar contraseñas fuertes en todo momento: desde el usuario root hasta la contraseña de cada extensión, combinando minúsculas, mayúsculas, números y caracteres especiales.
5. Cambiar el puerto de escucha de Asterisk
En lo personal nunca dejo el puerto por defecto 5060; siempre lo cambio por cualquier otro que esté disponible en nuestro sistema. Para cambiar el puerto debemos editar el archivo sip.conf y agregar o cambiar la siguiente línea:
bindport=5060
;;; La cambiaremos, por ejemplo, por:
bindport=50605
Al cambiar el puerto de escucha de nuestro Asterisk debemos abrirlo en el firewall y cerrar el anterior, el 5060.
Otras recomendaciones son la instalación de Fail2ban y la configuración correcta de iptables; estas configuraciones las veremos en los próximos artículos.