我应该阻止哪些其他端口以最大限度地提高服务器安全性？PS使用IPTABLES

Question

我已经封锁了端口 80、9001、9080。还应该封锁哪些其他端口以最大限度地提高安全性？

PS：是星号服务器/PBX

对不起：新系统管理员在这里:)

谢谢！

Answer 1

最好的办法是阻止所有端口（iptables 默认为 DROP）并仅打开您需要的端口（至少对于您的星号服务器来说可能是端口 5060）。如果您需要从外部管理 asterisk，如果您从 Web 浏览器管理它，则需要打开端口 80，如果您使用 ssh，则需要打开端口 22。

更新：

对于 Asterisk，我认为您不需要打开其他端口，甚至不确定是否需要打开 5060。如果您只接听来自您的 voip 提供商（带有中继）的电话，则无需打开 5060。

如果您有从 Internet 连接的分机（或另一个 Voip PBX），则需要打开 5060，但如果可以避免，我不建议这样做。您可以改用 VPN。

Tbh 我认为最好在局域网中使用星号（在带有 NAT 和防火墙的路由器/服务器后面），而不直接连接到互联网。在这种情况下，您的面向 Internet 的服务器（或路由器）必须将您在 asterisk（可能为 8000-10001）中使用的 RTP 端口范围端口转发到您的 asterisk 服务器。如果您收到新连接，您还需要端口转发 5060。

Obs：从中继（例如 DID）收到的新呼叫不是到 5060 的新连接，因为使用中继与您的 voip 提供商的连接是由星号启动的，因此防火墙处于 RELATED 或 ESTABLISHED 状态，并且应该已经由路由器防火墙授权（如果没有，您可能在局域网中没有互联网）。