Fail2ban - El enemigo en casa

 Fail2ban

El enemigo en casa

Houston, tenemos un problema

Estás en la oficina, tienes que hacer una llamada y cuando vas a realizarla no puedes, el teléfono nada más marcar te devuelve un error, contactas con el soporte de la centralita de telefonía para que revisen el problema y el soporte te dice que: "se ha caído el SIP trunk y el servidor de telefonía del operador no responde". Este es un problema muy común, vamos a ver como resolverlo.

El diagnostico

Puede haber varias causas que hayan desencadenado este problema, pero hoy nos centraremos en una de las causas más comunes que me suelo encontrar cuando en la instalación hay una PBX con un fail2ban o firewall mal configurado. Algunos fabricantes incluyen políticas de control del tráfico SIP, que teniendo en cuenta ciertos valores como puede ser: cantidad de mensajes recibidos desde una IP o intentos incorrectos de login fallidos de una extensión SIP. Esto bloqueará la IP origen de forma dinámica. 

Hay muchos fabricante de sistemas de telefonía que incluyen firewall o un sistema de fail2ban, tenerlos correctamente configurados te evitará dolores de cabeza, a veces el desconocimiento del instalador o tal vez un descuido o un fallo en la configuración acabará ocasionando un pérdida de conexión en el SIP trunk. En algunas ocasiones lo que ocurre es que, el fail2ban detecta a la IP del operador como una IP atacante y la añade a la lista negra. Aquí es donde tenemos el problema, ya que se dejan de recibir las respuestas a las peticiones de registro enviadas y nuestro servicio deja de funcionar.

Comportamiento de los mensajes SIP cuando la IP del operador está en la Blacklist.

"Hay muchos fabricante de sistemas de telefonía que incluyen firewall o un sistema de fail2ban, tenerlos correctamente configurados te evitará dolores de cabeza, a veces el desconocimiento del instalador o tal vez un descuido o un fallo en la configuración acabará ocasionando un pérdida de conexión en el SIP trunk"

Una vez se añade la IP del operador en la blacklist la centralita podrá enviar las peticiones de registro al proveedor del SIP trunk, el operador recibirá los mensajes y contestará, para que continúe el proceso de registro con la fase de autenticación, pero el proceso será interrumpido por el firewall de la PBX que bloqueará los mensajes que vienen desde fuera de la red.

¿Cómo lo soluciono?

Solucionarlo es más sencillo de lo que parece, permitir en el Firewall las IPs del proveedor con el que trabajas además de cualquier otra IP que requiera interacción con la PBX, como por ejemplo servidores SMTP, NTP, etcétera. Recuerda que debes eliminar de la blacklist la IP bloqueada si no se ha quitado al añadirla en la regla de aceptación del firewall, una vez hecho esto el problema quedará resuelto. 

A continuación dejo unos vídeos del fabricante Yeastar que hablan sobre el tema, recuerdo que los vídeos se pueden poner con subtítulos en español.

En el primero se habla de como funciona la autodefensa y en el segundo de como corregir el problema.

Los problemas relacionados con Firewalls, fail2ban, y sistemas de prevención de flooding son muy normales y tienden a causar bastantes problemas, aunque suelen ser sencillo de solucionar. Si alguna vez te ha ocurrido este problema, ahora serás capaz de solucionarlo. Es muy común encontrarse estos problemas en PBX basadas en Asterisk ¿Te había pasado alguna vez? ¿Conoces más centralitas donde ocurra este problema?