Як захистити Asterisk від підбору паролів

Вирішив я якось піднятиSIP-сервердля своїх потреб. Вихід у зовнішні мережі був не потрібен, я підняв цей сервіс тільки для своїх. Не встиг його підняти, як доблесні тайванські хакери дружно почали брутфорсити логіни та паролі на мій астериск. Причому робили це нахабно в багатопотоковому режимі, цифри підставляли методом наукового перебору:

asterisk
[Jan 13 09:45:12] NOTICE[15489] chan_sip.c: Registration from '« 0» 'failed for '210.240.176.51' — No matching peer found [Jan 13 09:45:12] NOTICE[15489] No matching peer found [Jan 13 09:45:12] NOTICE[15489] chan_sip.c: Registration from ''test' ' :45:12] NOTICE[15489] chan_sip.c: Registration from ''2' 'failed for '210.240.176.51' - No matching peer found [Jan 13 09:45:12] NOTICE[15489] c: Registration from '«3» 'failed for '210.240.176.51' — No matching peer found [Jan 13 09:45:12] NOTICE[15489] chan_sip.c: Registration from '«4» 'failed for '210.240.176.51' - No matching peer found [Jan 13 09:45:12] NOTICE[15489] chan_sip.c: 3>[Jan 13 09:45:12] NOTICE[15489] chan_sip.c: Registration from ''6'' failed for '210.240.176.51' - No matching peer found [Jan 13 09:45:12] NOTICE[15489] chan_sip.c: Registration from '7' 'failed for '210.240.176.51' — No matching peer found…

Друга річ, яку слід зробити, це аналізувати логи астериску щодо наявності невірної аутентифікації. І у разі виявлення спроб підбору пароля відправляти підозрілі IP-адреси в бан.

Для Linux є відповідне рішення, пов'язане з установкою та налаштуваннямfail2ban, яка побудована на iptables. Мені ж це рішення не підійшло, тому що мій Астериск крутиться на хостингу з FreeBSD, а там використовується ipfw замість болю знайомого iptables. Шляхом довгих експериментів дійшов того, що не варто додавати всі ворожі айпишники в загальну чергу до лазні. Список правил на пару сотень IP пристойно навантажує VDS, що не є гуд.

Якщо доfirewall.confдодати один єдиний рядок:

У таблицях ipfw є одна вада, вони працюють тільки зIPv4. Оскільки перехід наIPv6не за горами, то працездатність диво-скрипту в найближчому майбутньому залишиться під питанням.