Ola, neste artigo vamos tratar de segurança de servidor linux, e principalmente do Asterisk, ja faz

algum tempo que tenho tido vários contatos perguntando sobre como configurar o ip junto com o
fai2ban para proteger o Asterisk.

Bom, estou usando Centos 5.5, para começar é muito importante alterar a porta do SSH para uma
por ta alta EX: 22854

para fazer esta modificação basta um comando:

sed -i "s/#Port 22/Port 22854/g" /etc/ssh/sshd_config

Agora que esta alterado reiniciamos o SSH:

service sshd restart

Agora vamos baixr e instalar o Fail2Ban

cd /usr/src
wget http://ufpr.dl.sourceforge.net/project/fail2ban/fail2ban-stable/fail2ban-0.8.4/fail2ban-
0.8.4.tar.bz2
tar -jxf fail2ban-0.8.4.tar.bz2
cd fail2ban-0.8.4
yum install python iptables
python setup.py install
Iniciar o Fail2Ban no boot
cp /usr/src/fail2ban-0.8.4/files/redhat-initd /etc/init.d/fail2ban
chmod 755 /etc/init.d/fail2ban

Agora que estamos com tudo instalado vamos a configuração:

Editamos o arquivo /etc/fail2ban/jail.conf e colocamos estas linhas no final

[asterisk-iptables]
enabled = true
filter = asterisk
action = iptables-allports[name=ASTERISK, protocol=all]
sendmail-whois[name=ASTERISK, dest=root, sender= fail2ban@example.org Este endereço
de e-mail está protegido contra spambots. Você deve habilitar o JavaScript para visualizá-lo. ]
logpath = /var/log/asterisk/messages
maxretry = 5
bantime = 259200

Apos criamos o arquivo /etc/fail2ban/filter.d/asterisk.conf com este conteúdo:

# Fail2Ban configuration file
#
#
# $Revision: 250 $
#

[INCLUDES]

# Read common prefixes. If any customizations available -- read them from

# common.local
#before = common.conf

[Definition]

#_daemon = asterisk

# Option: failregex
# Notes.: regex to match the password failures messages in the logfile. The
# host must be matched by a group named "host". The tag "<HOST>" can
# be used for standard IP/hostname matching and is only an alias for
# (?:::f{4,6}:)?(?P<host>\S+)
# Values: TEXT
#

failregex = NOTICE.* .*: Registration from '.*' failed for '<HOST>' - Wrong password
NOTICE.* .*: Registration from '.*' failed for '<HOST>' - No matching peer found
NOTICE.* .*: Registration from '.*' failed for '<HOST>' - Username/auth name mismatch
NOTICE.* .*: Registration from '.*' failed for '<HOST>' - Device does not match ACL
NOTICE.* .*: Registration from '.*' failed for '<HOST>' - Peer is not supposed to register
NOTICE.* <HOST> failed to authenticate as '.*'$
NOTICE.* .*: No registration for peer '.*' \(from <HOST>\)
NOTICE.* .*: Host <HOST> failed MD5 authentication for '.*' (.*)
NOTICE.* .*: Failed to authenticate user .*@<HOST>.*

# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =

Pronto já esta configurado nosso fail2ban.

Agora modificamos nosso arquivo /etc/asterisk/logger.conf

logo abaixo de [general] adicionamos
dateformat=%F %T

e verificamos a linha

messages => notice,warning,error

Cuide para deixar descomentada, retirando a virgula da frente

e ao final do arquivo adicionamos

syslog.local0 => notice

Agora reiniciamos nosso asterisk

service asterisk restart

Agora configuramos nosso iptables

Altere a 1º regra com sua porta do ssh:

iptables -I INPUT -p tcp --dport 22854 -j ACCEPT

iptables -I INPUT -p tcp -m multiport --dport 80 -j ACCEPT
iptables -I INPUT -p udp -m multiport --dport 80 -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 5060 -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 4569 -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 5036 -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 10000:20000 -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 2727 -j ACCEPT

Salvamos as regras do iptables

service iptables save

Adicionamos os dois serviços no boot

chkconfig iptables on
chkconfig fail2ban on

Agora é só iniciar o iptables e apos o fail2ban

service iptables start

service fail2ban start
Pronto, agora seu servidor voip esta bastante protegido.

SCRIPT AUTOMÁTICO
Para quem gosta de facilitar as coisas deixo aqui um script para instalar automático:

cd /usr/src
wget http://www.magnussolution.com/billing/install_iptables_fail2ban.sh
chmod +x ./install_iptables_fail2ban.sh
./install_iptables_fail2ban.sh 22

OBS: Este segundo parametro no comando acima é a porta do SSH, você pode alterar se quizer,
ajuda muito na segurança.

Obrigado