http://mikrotik.moscow Новое в теме Защищайся от SIP-атак с помощью брандмауэра Mikrotik. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 16 Aug 2026 20:33:40 -0400 Защищайся от SIP-атак с помощью брандмауэра Mikrotik. RouterOS в форуме RouterOS.
Окей, но у нас есть локации с более чем 20 sip-устройствами. Если роутер перезагрузится, они все попытаются зарегистрироваться одновременно, и IP точно заблокируется.
09.01.2014 09:49:00, Martijnscheffer.]]> http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241636 http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241636 Thu, 09 Jan 2014 09:49:00 -0500 RouterOS Защищайся от SIP-атак с помощью брандмауэра Mikrotik. RouterOS в форуме RouterOS.
Можно изменить таймаут на значение больше 15 секунд. И ещё, если уже зарегистрирован номер телефона к одному IP, то при попытке регистрации с нового IP начнется новый 15-секундный период ожидания. Как ты и говорил, подключения блокируются только во время этого 15-секундного периода. 15 секунд – это довольно долго, ведь регистрация обычно занимает всего 3 секунды на устройство.
09.01.2014 00:19:00, aaronhun22.]]> http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241635 http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241635 Thu, 09 Jan 2014 00:19:00 -0500 RouterOS Защищайся от SIP-атак с помощью брандмауэра Mikrotik. RouterOS в форуме RouterOS.
К сожалению, после дополнительного тестирования выяснилось, что это не работает. Правило просто блокирует IP-адрес, если с одного и того же IP-адреса поступает второе подключение в течение 15 секунд (несмотря на регистрацию). Если клиент попытается зарегистрировать 2 или более SIP-устройств одновременно, его IP-адрес будет заблокирован. Буду рад любым другим предложениям.
03.01.2014 15:02:00, Martijnscheffer.]]> http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241634 http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241634 Fri, 03 Jan 2014 15:02:00 -0500 RouterOS Защищайся от SIP-атак с помощью брандмауэра Mikrotik. RouterOS в форуме RouterOS.
Привет, Aaronhun22. Я тестировал, и кажется, работает хорошо в небольшой тестовой среде. Теперь собираюсь внедрить это на наши основные роутеры. Я долго искал хорошее решение и перепробовал кучу всяких сложных вещей. А вот твой вариант кажется довольно простым, но при этом самым эффективным из всех. Большое спасибо, Мартийн.
05.12.2013 13:36:00, Martijnscheffer.]]> http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241633 http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241633 Thu, 05 Dec 2013 13:36:00 -0500 RouterOS Защищайся от SIP-атак с помощью брандмауэра Mikrotik. RouterOS в форуме RouterOS.
Можно использовать SPI на новых соединениях с: /ip firewall filter add chain=forward in-interface=ether1-gateway src-address-list="SIP Hacker" action=drop
/ip firewall filter add chain=forward protocol=udp dst-port=5060 connection-state=new src-address-list="SIP Trial" in-interface=ether1-gateway action=add-src-to-address-list address-list="SIP Hacker" address-list-timeout=1d
/ip firewall filter add chain=forward src-address=0.0.0.0/0 protocol=udp dst-port=5060 in-interface=ether1-gateway connection-state=new action=add-src-to-address-list address-list="SIP Trial" address-list-timeout=00:00:15

Что это делает: отслеживает новые подключения к SIP-регистрации на порту 5060 и, если они не могут установить успешного рукопожатия с вашим SIP-сервером в течение 15 секунд (аутентификация должна занимать не более 3 секунд), их IP-адрес блокируется на 1 день. Это также работает с другими серверами, такими как SSH, FTP и т.д.
05.12.2013 00:11:00, aaronhun22.]]> http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241632 http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241632 Thu, 05 Dec 2013 00:11:00 -0500 RouterOS Защищайся от SIP-атак с помощью брандмауэра Mikrotik. RouterOS в форуме RouterOS.
Большое спасибо за Great filters. Но у меня странная проблема: хоть правило отбрасывания в цепочке пересылки срабатывает и выдает 200 попаданий в секунду, пакеты все равно пересылаются и НЕ отбрасываются. Что может быть причиной?
13.08.2015 11:32:00, sveno.]]> http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241631 http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241631 Thu, 13 Aug 2015 11:32:00 -0400 RouterOS Защищайся от SIP-атак с помощью брандмауэра Mikrotik. RouterOS в форуме RouterOS.
Я не могу отвечать за твою АТС, но знаю, что в Asterisk, когда теряется соединение SIP-расширения, оно не перерегистрируется при восстановлении соединения, потому что Asterisk уже знает IP-адрес входящего расширения. Соответственно, SPI твоего роутера не будет считать эти соединения новыми, поскольку они уже установлены.
10.01.2014 20:22:00, aaronhun22.]]> http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241630 http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241630 Fri, 10 Jan 2014 20:22:00 -0500 RouterOS Защищайся от SIP-атак с помощью брандмауэра Mikrotik. RouterOS в форуме RouterOS.
Привет! Извините, я новичок на форуме, скажите, если я разместил эту тему не в том разделе. Я использую RB1200 v5.21 и пытаюсь настроить файрвол, чтобы блокировать нежелательный SIP-трафик / атаки на мой Asterisk-сервер, не блокируя IP-адреса моих настоящих клиентов. Пытался блокировать IP-адреса после 15 x content="SIP/2.0 401 Unauthorized" в течение определенного периода времени, но в итоге это также заблокирует и моих настоящих клиентов, так как SIP-трафик всегда отвечает content="SIP/2.0 401 Unauthorized" перед установлением соединения (также пробовал тот же метод с 403 Forbidden). Кто-нибудь знает хороший способ блокировать нежелательный SIP-трафик на Mikrotik Firewall, не блокируя IP-адреса настоящих клиентов? Также разрешать только IP-адреса клиентов не вариант, так как они берут свои VoIP-телефоны с собой в разные места. Спасибо, Martijn.
04.12.2013 11:30:00, Martijnscheffer.]]> http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241629 http://mikrotik.moscow/forum/forum57/62929-zashchishchaysya-ot-sip_atak-s-pomoshchyu-brandmauera-mikrotik./message241629 Wed, 04 Dec 2013 11:30:00 -0500 RouterOS