NetdefendOS_2.27.01_Firewall_User_Manual_RUS

SIP proxy в приведенной выше диаграмме может быть расположен удаленно в сети Интернет.
Функция Record-Route должна быть включена для того чтобы весь SIP-трафик, отправленный или
полученный клиентами офиса, мог быть отправлен через SIP Proxy. Это рекомендуемая функция,
так как она сводит атаки к минимуму, разрешая прохождение в локальную сеть только SIP
сигнализации с SIP Proxy-сервера.
Данный сценарий выполняется двумя способами:
• С применением NAT для скрытия топологии сети.
• Без применения NAT, таким образом, топология сети открыта.
Примечание: Нет необходимости в настройке NAT
traversal
Нет необходимости в настройке NAT Traversal для клиентов SIP и SIP
Proxies. Например, не должен использоваться протокол Simple Traversal of UDP through NATs
(STUN). NetDefendOS SIP ALG решает все вопросы, связанные с NAT traversal в SIP.
Для данного сценария выполните следующие шаги по установке:
1. Определите объект SIP ALG, используя функции, описанные выше.
2. Определите объект Служба, который связан с объектом SIP ALG. В службе должны
поддерживаться следующие параметры:
• Порт назначения – 5060 (по умолчанию сигнальный порт SIP).
• Тип – TCP/UDP.
3. Укажите два правила в наборе IP-правил:
• NAT-правило для трафика, исходящего от клиентов во внутренней сети на сервер SIP Proxy
расположенный во внешней сети. SIP ALG будет следить за передачей всех адресов, необходимых
для правила NAT. Данная передача будет происходить как на IP-уровне, так и на уровне
приложений. Ни клиенты, ни proxy-серверы не должны быть осведомлены, что локальные
пользователи натируются.
• Правило Allow для SIP-трафика, входящего с SIP proxy-сервера на IP межсетевого экрана
NetDefend. Данное правило использует core (другими словами, NetDefendOS) в качестве интерфейса
назначения. Причина этого связана с правилом NAT, указанным выше. При получении входящего
вызова, NetDefendOS будет автоматически определять локального получателя, выполнять передачу
адреса и перенаправлять SIP-сообщения получателю.
Нет необходимости в правиле SAT для передачи входящих SIP-сообщений, так как ALG
автоматически перенаправит входящие SIP-запросы необходимому внутреннему пользователю.
Если SIP-клиент позади натирующего межсетевого экрана NetDefend регистрируется с внешним SIP
proxy-сервером, NetDefendOS отправляет свой собственный IP-адрес в качестве контактной
информации на SIP proxy-сервер. Система NetDefendOS регистрирует контактную информацию о
локальном клиенте и использует ее для перенаправления входящих вызовов пользователю. ALG
следит за необходимой передачей адреса.
4. Убедитесь в том, что клиенты корректно настроены. SIP Proxy-сервер играет ключевую роль в
определении текущего расположения другого клиента, участвующего в сессии. IP-адрес proxyсервера
не определяется в ALG. Вместо этого его местонахождение либо введено непосредственно
на программное обеспечение клиента, либо клиент обладает возможностью получить IP-адрес proxyсервера
автоматически, например, через DHCP.
Примечание: Нет необходимости в настройке NAT
264