Hallo zusammen,

demnächst will ich mit meinem experimentellen Telefonserver auf der Basis von Asterisk auf einen Raspberry Pi umziehen und dann Fail2Ban installieren, das gegen Angriffe schützen soll. Insbesondere verstehe ich die Konfiguration von Fail2Ban noch nicht. Wer hat das schon gemacht und könnte mir dankenswerterweise dabei helfen? Alles läuft dann auf dem Raspberry Pi unter Linux.


Die derzeitige Lösung: FritzBox 7170 mit Asterisk 1.4.22 auf USB-Stick


Raspberry Pi 3 B+

So ein Raspberry Pi mit Asterisk wäre auch als Client interessant, da er wesentlich mehr Konfigurations-Möglichkeiten als eine FritzBox bietet.

Viele Grüße Volker

"Das Radio hat keine Zukunft." (Lord Kelvin, Mathematiker und Physiker (1824-1907))

Zuletzt bearbeitet am 28.09.20 07:20

Datei-Anhänge

	RaspberryPi3Bplus.jpg (242x) Mime-Type: image/jpeg, 42 kB
	Asterisk-Sip-Server-im-USBstick-auf-FritzBox-7170-hinter-Hauptrouter.jpg (240x) Mime-Type: image/jpeg, 66 kB

WalterBar gefällt der Beitrag.

Um welche Linux-Distri handelt es sich?

Fail2Ban schützt nicht gegen Angriffe.
Die kommen durch, sofern da irgendwas am Internet hängt und auf einem Port lauscht.
Daher:
für Dinge, die nur intern genutzt werden, private IP-Adressen nehmen. Portweiterleitungen bei IPv4 nur da einrichten, wo benötigt.
ist keine Vorhanden geht es am NAT-Router in den Müll. Eine zusätzliche Firewall ist da nicht mehr notwendig, um eingehenden Verkehr zu filtern. Anders als bei öffentlichen IPv6-Adressen.
Bei IPv4 aus dem Bereich 10.0.0.0/8, 172.16.0.0/12 bzw. 192.168.0.0/16
Bei IPv6 gibt es auch entsprechende Bereiche dafür: fd00::/8
Diese Bereich wird im öffentlichen Internet nicht geroutet, ergo auch keine Fw notwendig, NAT ist bei IPv6 auch nicht vorgesehen.

Sofern das Teil aber über eine öffentliche IP verfügt oder eine private IPv4 mit Portweiterleitung am NAT-Router hat, ist es aus dem Internet erreichbar.
Daher sollten auf diesen Adressen nur Dienste laufen, die von außen auch erreichbar sein sollen.
So kann man am besten die Angriffsfläche reduzieren.
Beispiel:
Der Rechner hat die IP 2001:470:1234::6/64
Die wäre aus dem Internet erreichbar.
Wenn dort aber z.B. auf Port 22 (Standardport für SSH) kein Dienst läuft, kann auch kein Angriff erfolgen. Der Client vom Angreifer bekommt dann die Info, dass da nichts läuft.
Läuft aber ein Dienst, so kann man einen Angriff nicht verhindern. Er findet statt, z.B. indem versucht wird, sich per SSH einzuloggen.
Daher:
Keinen allgemeinen Benutzernamen verwenden und in der SSHd-Konfiguration nur diesen zulassen. Dieser Benutzer sollte keine root-Rechte haben (nicht in sudo-Gruppe sein). Alle anderen werden verboten, so kann keine Lücke entstehen, wenn man mal einen User anlegt oder ein Programm einen anlegt.
Hier mal der Auszug aus meinem SSH-Log eines heute morgen aufgesetzten Servers, hauptsächlich laufen die Angriffe über IPv4:
<textarea id="codeblock_2" class="codepress generic autocomplete-off readonly-on" style="width:70%;height:240px;">ep 26 13:14:43 server sshd[2589]: Invalid user contador from 51.83.134.233 port 46916 Sep 26 13:14:43 server sshd[2589]: pam_unix(sshd:auth): check pass; user unknown Sep 26 13:14:43 server sshd[2589]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=51.83.134.233 Sep 26 13:14:45 server sshd[2589]: Failed password for invalid user contador from 51.83.134.233 port 46916 ssh2 Sep 26 13:14:46 server sshd[2589]: Received disconnect from 51.83.134.233 port 46916:11: Bye Bye [preauth] Sep 26 13:14:46 server sshd[2589]: Disconnected from invalid user contador 51.83.134.233 port 46916 [preauth] Sep 26 13:15:16 server sshd[2592]: User root from 20.193.64.26 not allowed because not listed in AllowUsers Sep 26 13:15:16 server sshd[2592]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=20.193.64.26 user=root Sep 26 13:15:18 server sshd[2592]: Failed password for invalid user root from 20.193.64.26 port 52517 ssh2 Sep 26 13:15:20 server sshd[2592]: Received disconnect from 20.193.64.26 port 52517:11: Client disconnecting normally [preauth] Sep 26 13:15:20 server sshd[2592]: Disconnected from invalid user root 20.193.64.26 port 52517 [preauth] root@server:/home/admini#&lt;/textarea&gt;

Fail2Ban macht jetzt nichts anderes als diese Logdateien anzusehen und IPs, die versuchen, bestimmte Dienste anzugreifen, zu blockieren.
Ich werde mich mal damit befassen und dir dann ggf. bei der Konfiguration behilflich sein.

Hallo zusammen, Hallo Marco,

so, jetzt bin ich schon ein Stück weiter und habe herausgefunden, wie man die Asterisk Ver. 1.4 auf den Raspberry kompiliert. Dann brauche ich meine Konfiguration des Asterisk nicht ändern, was mir eine Menge Arbeit erspart. Die Version 1.4 läuft sehr stabil auf der alten FritzBox 7170. Aber ewig wird diese Technik nicht durchhalten. Deshalb die Migration auf den Raspberry.

Am Anfang hatte ich große Schwierigkeiten, weil ich an den Raspberry einen VGA-Monitor über ein HDMI-Adapter angeschlossen hatte. Das klappt nicht. Es kommt kein Bild. Ich warte nun, bis der HDMI-Monitor kommt. In der Zwischenzeit kann ich mich einlesen. In der Praxis kommen die Probleme so oder so.

Es ruht nun eine gewisse Verantwortung auf mich, da mein kleiner SIP-Server immer mehr Teilnehmer bekommt. Es sind hauptsächlich Funkamateure, die fleißig telefonieren und miteinander zum Teil stundenlange Gespräche führen. Im Prinzip ist das wie Amateurfunk. Nur ist neben den Funkwellen das Internet dazugekommen. Hauptsache es ist möglichst viel selbst entworfen und ausprobiert. Alles aus Freude am Experiment. Seit einigen Tagen hat mein SIP-Server einen Zugang zu Echolink https://de.wikipedia.org/wiki/Echolink bekommen. Man kann also über das Telefon von überall aus der Welt Sprechfunk auf einem Amateurfunk-Relais ausüben. Den Zugangs-Code bekommen natürlich nur Funkamateure. Im Gegensatz zum Amateurfunk erwarten nun die Anwender eine hohe Verfügbarkeit und Verbindungsqualität. Die Sprachqualität sei besser als bei den kommerziellen Telefonanbietern und auf jeden Fall besser als bei den meisten Messenger-Diensten. Eine Verschlüsselung der SIP-Telefonate ist mit TLS sogar prinzipiell möglich, was jedoch im Amateurfunk verboten wäre.

Viele Grüße Volker

"Das Radio hat keine Zukunft." (Lord Kelvin, Mathematiker und Physiker (1824-1907))

Hallo Marco,

schon richtig. Streng genommen ist es ein Konverter. Die Dinger werden als Adapter verkauft. Die Endkunden wollen ein Kabel, das von da nach da passt. Versuche mal den Adapter als "Digital-Analog-Konverter von HDMI nach VGA" zu verkaufen. Die meisten Endkunden können damit nichts anfangen. Die Endkunden wollen ein passendes Kabel. Alles andere ist denen unwichtig.

Nach dem ersten Start von Raspbian kommt mit dem "Adapter" ein Bild und beim nächsten Neustart keines mehr. Gehe ich an meinen Fernseher, geht es dort immer am dortigen HDMI-Eingang. Ich kann das Netzteil ausschalten und wieder einschalten. Das Bild kommt immer am Fernseher. Also taugt der Konverter im Adapter nichts. Nun warte ich auf meinen HDMI-Monitor, der zum Glück auch noch einen VGA- und DVI-Eingang hat.

Das Projekt wird immer komplizierter. Da die meisten Internet-Zugänge dynamisch in regelmäßigen Abständen eine neue öffentliche IP zugewiesen bekommen, muss noch ein DynDnS, genauer gesagt der kostenlose Servcie von NoIP installiert werden. Sonst wird das nichts mit dem telefonieren über das Internet. Ein FTP-Server kommt bei der Gelegenheit auch auf den Raspberry. Wahrscheinlich wird sich für das Projekt kaum jemand interessieren. Aber egal, macht Spaß und man lernt was dabei.

Jetzt habe ich auch herausgefunden, wie man das alte Asterisk 1.4.4 für den ARM-Prozessor des Raspberry kompiliert. Der ganze Aufwand nur um telefonieren zu können, was auch mit der Handi-Flatrate oder WhatsApp ginge. Kein Wunder, dass kaum jemand den Zusatznutzen erkennt.

Viele Grüße Volker

"Das Radio hat keine Zukunft." (Lord Kelvin, Mathematiker und Physiker (1824-1907))

Hallo Marco,

vielen Dank für deine wertvollen Tipps. Du bist ja voll fit auf dem Gebiet. Ich bin erst einmal zufrieden den Raspberry mit IPv4 und einem alten Asterisk zum Laufen zu bringen.

Könnte man grundsätzlich VPN und ein DynDNS auf dem Raspberry gleichzeitig betreiben, damit sich der Benutzer die Portfreigaben in seinem Router spart?

Unter http://www.raspberry-asterisk.org/first-compile/ habe ich eine Anleitung zum Kompilieren und Installieren gefunden. Die erste Zeile verstehe ich nicht. Muss man das alles installieren? In der zweiten Zeile stimmt der Link nicht. Aber ich habe auf http://downloads.asterisk.org die tar.gz-Dateien gefunden. Sie sind in einem anderen Ordner verschoben worden. Ich will Asterisk 1.4.4 installieren, das ebenfalls vorhanden ist.

Hoffentlich kommt mein Monitor bald. Ich will endlich loslegen. Seit zwei Jahren liegts der raspberry pi 3 b+ hier herum und jetzt kann ich es kaum erwarten. Was tut man nicht alles, um mit alten Wählscheibentelefonen im eigenen Netz telefonieren zu können. Alte Faxe und Fernschreiber könnte man auch noch betreiben. Fax geht und beim Fernschreiber werden nur zwei Töne übertragen.

Viele Grüße Volker

"Das Radio hat keine Zukunft." (Lord Kelvin, Mathematiker und Physiker (1824-1907))

Zuletzt bearbeitet am 27.09.20 15:29

Hallo zusammen,

hier meine Anleitung "Asterisk und Fail2Ban auf dem Raspberry Pi unter Raspbian installieren":

https://elektronikbasteln.pl7.de/asteris...em-raspberry-pi

Auch Anfänger müssten damit zurecht kommen. Viel Freude und schöne Stunden beim kostenlosen Telefonieren!

Mitglieder des Wumpus-Gollum-Forums bekommen gerne von mir einen SIP-Account. Dies ist wegen der zahlreichen Testnummern besonders für jene interessant, welche mit neuer oder alter Telefontechnik experimentieren möchten.

Viele Grüße Volker

"Das Radio hat keine Zukunft." (Lord Kelvin, Mathematiker und Physiker (1824-1907))

Zuletzt bearbeitet am 11.10.20 08:07

Datei-Anhänge

Rasperry3BplusSandwhich.jpg (276x) Mime-Type: image/jpeg, 124 kB