🚀 go-pugleaf

On 10/03/2014 18:47, Tomasz Botwina wrote:
> Witajcie, u siebie w sieci posiadam sporą ilość bramek spa 112 do każdej z tych bramek mam dostęp z zewnątrz reasumując bramki są z adresami publicznymi lub w przypadku gdy są za routerami daję dmz lub konfiguruję bramkę na jakimś procie.
> Od pewnego czasu nękają ciągle mnie braki możliwośći dodzwonienia się do klienta - okazuje się , że user1/user1 w cfdall ustawiany jest jakiś numer na którzy rzekomo ma byc przekierowanie - zaznaczę że to nie robią klienci.
> Zauważyłem, że problem rodzi się na bramkach które są na publicu - nie pomaga to, że w line1/line2 wyłącze wszelkie przekierowania a hasło administratora zmieniam na kompletne krzaki składające się nawet do 12 znaków.
> Pytanie moje, czy jest jakaś wadliwa i podatna wersja firmware na ataki stąd ten prboem?
> czy problemem jest konto użytkownika "cisco" które na dobrą sprawę zostawiam domyślnie
> czy może problemem jest dalsza część konfiguracji urządzenia? jak mnie pamięć nie myli na bramkach pap2t nie miałem/nie mam póki co z tym problemu.
>

To jest nawiększy błąd jaki robią operatrorzy. Złamanie dostępu do 
bramki przez brute-force to tylko kwestia czasu. Ostatnio pomagałem z 
jedenmu z duzych operatorów, który to zostawił dostęp do www otwarty.
Efektem był włam, przekierowanie rozmów przychodzących na numer premium 
i rachunek rzędu 200.000 PLN.

Jezeli to tylko mozliwe to:
- wyłącz dostęp do www bramki
- po stronie UAS, zablokuj możliwosc przekierowywania przez 301 Moved 
Permamently i 302 Moved Temporarily
- Konfiguruj bramki przez remote provisioning. W necie znajdziesz 
przykłady jak to dobrze zrobic.

c.

-- 
vpbx.pl

W dniu poniedziałek, 10 marca 2014 19:47:08 UTC+1 użytkownik Tomasz Botwina napisał:
> Witajcie, u siebie w sieci posiadam sporą ilość bramek spa 112 do każdej z tych bramek mam dostęp z zewnątrz reasumując bramki są z adresami publicznymi lub w przypadku gdy są za routerami daję dmz lub konfiguruję bramkę na jakimś procie.
> 
> Od pewnego czasu nękają ciągle mnie braki możliwośći dodzwonienia się do klienta - okazuje się , że user1/user1 w cfdall ustawiany jest jakiś numer na którzy rzekomo ma byc przekierowanie - zaznaczę że to nie robią klienci. 
> 
> Zauważyłem, że problem rodzi się na bramkach które są na publicu - nie pomaga to, że w line1/line2 wyłącze wszelkie przekierowania a hasło administratora zmieniam na kompletne krzaki składające się nawet do 12 znaków.
> 
> Pytanie moje, czy jest jakaś wadliwa i podatna wersja firmware na ataki stąd ten prboem?
> 
> czy problemem jest konto użytkownika "cisco" które na dobrą sprawę zostawiam domyślnie
> 
> czy może problemem jest dalsza część konfiguracji urządzenia? jak mnie pamięć nie myli na bramkach pap2t nie miałem/nie mam póki co z tym problemu.

a powiedz mi jeszcze jedną rzecz czy stworzenie osobnego vlanu i nadanie adresacji lokalnej mógłby również rozwiązać ten problem? - w sieci zrobiliśmy osobny vlan dla bramek voip i po kolei każdą z bramek będziemy puszczać na osobny vlan i na te bramki.

On 11/03/2014 09:39, Tomasz Botwina wrote:
> W dniu poniedziałek, 10 marca 2014 19:47:08 UTC+1 użytkownik Tomasz Botwina napisał:
>> Witajcie, u siebie w sieci posiadam sporą ilość bramek spa 112 do każdej z tych bramek mam dostęp z zewnątrz reasumując bramki są z adresami publicznymi lub w przypadku gdy są za routerami daję dmz lub konfiguruję bramkę na jakimś procie.
>>
>> Od pewnego czasu nękają ciągle mnie braki możliwośći dodzwonienia się do klienta - okazuje się , że user1/user1 w cfdall ustawiany jest jakiś numer na którzy rzekomo ma byc przekierowanie - zaznaczę że to nie robią klienci.
>>
>> Zauważyłem, że problem rodzi się na bramkach które są na publicu - nie pomaga to, że w line1/line2 wyłącze wszelkie przekierowania a hasło administratora zmieniam na kompletne krzaki składające się nawet do 12 znaków.
>>
>> Pytanie moje, czy jest jakaś wadliwa i podatna wersja firmware na ataki stąd ten prboem?
>>
>> czy problemem jest konto użytkownika "cisco" które na dobrą sprawę zostawiam domyślnie
>>
>> czy może problemem jest dalsza część konfiguracji urządzenia? jak mnie pamięć nie myli na bramkach pap2t nie miałem/nie mam póki co z tym problemu.
>
> a powiedz mi jeszcze jedną rzecz czy stworzenie osobnego vlanu i nadanie adresacji lokalnej mógłby również rozwiązać ten problem? - w sieci zrobiliśmy osobny vlan dla bramek voip i po kolei każdą z bramek będziemy puszczać na osobny vlan i na te bramki.
>


To jest jakies rozwiązanie (z resztą tak to zaczęto robic u wspomnianego 
operatora) ale wydaje mi się ze remote provisioning byłby lepszy.

-- 
vpbx.pl

c.

W dniu poniedziałek, 10 marca 2014 19:47:08 UTC+1 użytkownik Tomasz Botwina napisał:
> Witajcie, u siebie w sieci posiadam sporą ilość bramek spa 112 do każdej z tych bramek mam dostęp z zewnątrz reasumując bramki są z adresami publicznymi lub w przypadku gdy są za routerami daję dmz lub konfiguruję bramkę na jakimś procie.
> 
> Od pewnego czasu nękają ciągle mnie braki możliwośći dodzwonienia się do klienta - okazuje się , że user1/user1 w cfdall ustawiany jest jakiś numer na którzy rzekomo ma byc przekierowanie - zaznaczę że to nie robią klienci. 
> 
> Zauważyłem, że problem rodzi się na bramkach które są na publicu - nie pomaga to, że w line1/line2 wyłącze wszelkie przekierowania a hasło administratora zmieniam na kompletne krzaki składające się nawet do 12 znaków.
> 
> Pytanie moje, czy jest jakaś wadliwa i podatna wersja firmware na ataki stąd ten prboem?
> 
> czy problemem jest konto użytkownika "cisco" które na dobrą sprawę zostawiam domyślnie
> 
> czy może problemem jest dalsza część konfiguracji urządzenia? jak mnie pamięć nie myli na bramkach pap2t nie miałem/nie mam póki co z tym problemu.

Cezar nie chciałbym nadwyrężać twojej dobroci jaką mi tutaj zaoferowałeś. Ale jeszcze mam pytanie odnośnie RPU. Poradnik odnośnie tego jakiś znalazłem i na szybko zdarzyłem się zorientować że wygląda ot w ten sposób że robię export ustawień do exela a potem import do do bramki. Pytanie, może i banalne czy śmieszne ale wdrażam się dopiero w wyższy poziom konfiguracji bramki (platforme jako tako już ogarnąłem - chociaż i tutaj mam pytania ) ale do mówiąc "konfiguracja przez remote provisioning" musze jakies narzędzie ze strony ciskacza ściągną? Czy na szybko byłbyś wstanie mnie nakierować w podstawowych sprawach co i jak mam pobrać i co dalej z tym zrobic?

On 11/03/2014 10:13, Tomasz Botwina wrote:
> W dniu poniedziałek, 10 marca 2014 19:47:08 UTC+1 użytkownik Tomasz Botwina napisał:
>> Witajcie, u siebie w sieci posiadam sporą ilość bramek spa 112 do każdej z tych bramek mam dostęp z zewnątrz reasumując bramki są z adresami publicznymi lub w przypadku gdy są za routerami daję dmz lub konfiguruję bramkę na jakimś procie.
>>
>> Od pewnego czasu nękają ciągle mnie braki możliwośći dodzwonienia się do klienta - okazuje się , że user1/user1 w cfdall ustawiany jest jakiś numer na którzy rzekomo ma byc przekierowanie - zaznaczę że to nie robią klienci.
>>
>> Zauważyłem, że problem rodzi się na bramkach które są na publicu - nie pomaga to, że w line1/line2 wyłącze wszelkie przekierowania a hasło administratora zmieniam na kompletne krzaki składające się nawet do 12 znaków.
>>
>> Pytanie moje, czy jest jakaś wadliwa i podatna wersja firmware na ataki stąd ten prboem?
>>
>> czy problemem jest konto użytkownika "cisco" które na dobrą sprawę zostawiam domyślnie
>>
>> czy może problemem jest dalsza część konfiguracji urządzenia? jak mnie pamięć nie myli na bramkach pap2t nie miałem/nie mam póki co z tym problemu.
>
> Cezar nie chciałbym nadwyrężać twojej dobroci jaką mi tutaj zaoferowałeś. Ale jeszcze mam pytanie odnośnie RPU. Poradnik odnośnie tego jakiś znalazłem i na szybko zdarzyłem się zorientować że wygląda ot w ten sposób że robię export ustawień do exela a potem import do do bramki. Pytanie, może i banalne czy śmieszne ale wdrażam się dopiero w wyższy poziom konfiguracji bramki (platforme jako tako już ogarnąłem - chociaż i tutaj mam pytania ) ale do mówiąc "konfiguracja przez remote provisioning" musze jakies narzędzie ze strony ciskacza ściągną? Czy na szybko byłbyś wstanie mnie nakierować w podstawowych sprawach co i jak mam pobrać i co dalej z tym zrobic?
>


Po krótce wygląda to tak:

Podłączasz bramke u siebie w sieci z odpowiednio ustawionym serverem 
DHCP i TFTP. Bramka pobiera sobie podstawowąkonfigurację taką jak wł/wył 
www, url zdalnego provisioningu. (i mozesz zablokowac taze TFTP)
Dajesz taką klientowi. Bramka po podłączeniu do sieci pobiera sobie plik 
  z konfiguracją bramki. Bramke identyfikujesz na podstawie adresu MAC. 
Jesli chcesz uzyc pewien ze bramka nie łączy się z fałszywym serwerem 
provisioningu, certyfikat  serwwera musi byc podpisany przez Cisco.
Pliki konfiguracyjne mozesz generowac dynamicznie przez php/perl/python

c.

-- 
vpbx.pl

On 11/03/2014 10:13, Tomasz Botwina wrote:
> W dniu poniedziałek, 10 marca 2014 19:47:08 UTC+1 użytkownik Tomasz Botwina napisał:
>> Witajcie, u siebie w sieci posiadam sporą ilość bramek spa 112 do każdej z tych bramek mam dostęp z zewnątrz reasumując bramki są z adresami publicznymi lub w przypadku gdy są za routerami daję dmz lub konfiguruję bramkę na jakimś procie.
>>
>> Od pewnego czasu nękają ciągle mnie braki możliwośći dodzwonienia się do klienta - okazuje się , że user1/user1 w cfdall ustawiany jest jakiś numer na którzy rzekomo ma byc przekierowanie - zaznaczę że to nie robią klienci.
>>
>> Zauważyłem, że problem rodzi się na bramkach które są na publicu - nie pomaga to, że w line1/line2 wyłącze wszelkie przekierowania a hasło administratora zmieniam na kompletne krzaki składające się nawet do 12 znaków.
>>
>> Pytanie moje, czy jest jakaś wadliwa i podatna wersja firmware na ataki stąd ten prboem?
>>
>> czy problemem jest konto użytkownika "cisco" które na dobrą sprawę zostawiam domyślnie
>>
>> czy może problemem jest dalsza część konfiguracji urządzenia? jak mnie pamięć nie myli na bramkach pap2t nie miałem/nie mam póki co z tym problemu.
>
> Cezar nie chciałbym nadwyrężać twojej dobroci jaką mi tutaj zaoferowałeś. Ale jeszcze mam pytanie odnośnie RPU. Poradnik odnośnie tego jakiś znalazłem i na szybko zdarzyłem się zorientować że wygląda ot w ten sposób że robię export ustawień do exela a potem import do do bramki. Pytanie, może i banalne czy śmieszne ale wdrażam się dopiero w wyższy poziom konfiguracji bramki (platforme jako tako już ogarnąłem - chociaż i tutaj mam pytania ) ale do mówiąc "konfiguracja przez remote provisioning" musze jakies narzędzie ze strony ciskacza ściągną? Czy na szybko byłbyś wstanie mnie nakierować w podstawowych sprawach co i jak mam pobrać i co dalej z tym zrobic?
>


zobacz ten wątek.
https://groups.google.com/forum/#!topic/taug-archive/2MMoE5NilaE

Tam masz link do narzędzia które generuje konfigi.

Wszystko zalezy ile masz tych bramek. jak kilka, kilkanascie to pewnie 
nie warto sie bawic w provisioning. Jesli wiecej to mozna sie zastanowic.

c.

-- 
vpbx.pl