puhelinkeskus asterisk käyttää centos käyttöjärjestelmää. tarvitseeko se aina välillä päivittää manuaalisesti vai päivittyykö automaattisesti. onko mitään vaaraa siitä ettei ole ollenkaan päivitetty pitkään aikaan. jos erillisessä palomuurista vain tarpeelliset portit on avattu ja palvelimessa itsessään vielä fail2ban lisäpalomuuri käytössä.
ennen fail2ban lisäpalomuuria tuli lokitiedostoon kokoa hyvin lyhyessä ajassa reilut 4 gigaa ja koko ajan joku yritti päästä sisään. sitten kerran oli testaamisen jäänyt auki muutama ylimääräinen alanumero ja salasanana niissä testphone tai 1234 niin se oli arvattu ja huomasin että joku yrittää soittaa joihinkin outoihin numeroihin koko ajan.
onneksi ei ollut sieltä ulos soitto mahdollista ainoastaan sisäisiin numeroihin olisi tullut varmaan melkoinen puhelinlasku. ihmettelin samoihin aikoihin kun qos tilastoon kertyi sip liikennettä melkoisesti jopa keskellä yötä vaikka yhtään puhelua ei ollut.
fail2ban lopetti ylimääräisen liikennöinnin muutamassa minuutissa sen käyttöön oton jälkeen.
sitten huomasin myös että fail2ban on blokannut yhden hostnamen mikä osoittaa kyseisen koneen julkiseen ip osoitteeseen. tämä ei ole varsinainen domain nimi vaan soneran antama nimi. http://aijaa.com/vvnhHC
voiko tästä päätellä että joku olisi päässyt sisälle tähän ja yrittäisi sisältä käsin arvuutella jotain salasanaa? puhelut toimii normaalisti ei niissä ole mitään ongelmaa.
ennen fail2ban lisäpalomuuria tuli lokitiedostoon kokoa hyvin lyhyessä ajassa reilut 4 gigaa ja koko ajan joku yritti päästä sisään. sitten kerran oli testaamisen jäänyt auki muutama ylimääräinen alanumero ja salasanana niissä testphone tai 1234 niin se oli arvattu ja huomasin että joku yrittää soittaa joihinkin outoihin numeroihin koko ajan.
onneksi ei ollut sieltä ulos soitto mahdollista ainoastaan sisäisiin numeroihin olisi tullut varmaan melkoinen puhelinlasku. ihmettelin samoihin aikoihin kun qos tilastoon kertyi sip liikennettä melkoisesti jopa keskellä yötä vaikka yhtään puhelua ei ollut.
fail2ban lopetti ylimääräisen liikennöinnin muutamassa minuutissa sen käyttöön oton jälkeen.
sitten huomasin myös että fail2ban on blokannut yhden hostnamen mikä osoittaa kyseisen koneen julkiseen ip osoitteeseen. tämä ei ole varsinainen domain nimi vaan soneran antama nimi. http://aijaa.com/vvnhHC
voiko tästä päätellä että joku olisi päässyt sisälle tähän ja yrittäisi sisältä käsin arvuutella jotain salasanaa? puhelut toimii normaalisti ei niissä ole mitään ongelmaa.
Vastaukset 11
Vanhimmat
Jos käyttää muuallakin kuin sisäverkossa niin kyllä, tarvitsee päivittää turva-aukoista säännöllisesti kuten käyttöjärjestelmä.
Varmaan helpointa ottaa käyttöön kuukausittain päivitysten tarkistus/asennus ja päivittää asteriskin mikäli on turva-aukkoja paikattu.
eihän se siis ole muualla kuin sisäverkossa ja palomuurin takana. mutta kulkeehan siitä ne puhelut sisään ja ulos niin onko se nyt sitten käyttöä sisäverkon ulkopuolella vai ei.
siis tarkoitin että se cent os minkä päällä se on on myös varmaan kokonaan päivittämättä että ei pelkästään asterisk. kun yritän välttää siihen koskemista jos se lakkaa toimimasta. kerran kävi niin että kun säädin sitä niin käyttäjien ulos soittamissa puheluissa ei vastaajan ääni alkanut kuulumaan. korjaantui käynnistämällä asterisk uudelleen.
silloin kun asensin sen tehtiin joku yum update tai vastaava komento että sen hetkiseen tilaan ainakin päivittyi mutta ei varmaan sen jälkeen sitten ole.
niin voikohan sen jostain nähdä onko siinä automaattiset päivitykset päällä vai ei. uptime on korkea että ei se ainakaan uudelleen ole kertaakaan käynnistynyt kuten windows päivitysten jälkeen.
ja miksi fail2ban tulee merkintä omasta julkisesta ip osoitteesta ihan kuin joku sisältä yrittäisi hakata sitä auki?
"eihän se siis ole muualla kuin sisäverkossa ja palomuurin takana. mutta kulkeehan siitä ne puhelut sisään ja ulos niin onko se nyt sitten käyttöä sisäverkon ulkopuolella vai ei."
Siis jos tietokoneeseen voi lähettää palomuurin ulkopuolelta paketin jotain reittiä pitkin niin silloin sitä tarvitsee päivittää turvapäivityksin vähintään niiltä osin joihin tuo voi vaikuttaa. Käytännössä käyttöjärjestelmä ja ohjelmat jotka niitä portteja kuuntelee. VoIP puhelut toki tarkoittaa myös sitä, että tarvitsee päivittää.
Tässä listaa Asteriskin turvatiedotteista: http://www.asterisk.org/downloads/security-advisories
Eli käytännössä, kerran kuukaudessa päivität CentOS:n ja tarkistat onko Asteriskiin tullut turvapäivitystä ja päivität sen myös.
"kun yritän välttää siihen koskemista jos se lakkaa toimimasta."
Koskematta jättäminen on turvareikien paikkaamatta jättämistä. Se ON mahdollista kovettaa turvalliseksi niin, että päivittämistä tarvitsee tehdä harvoin, vaikka vain 2-4x vuodessa mutta tarvitsee perehtymistä sen verran, että on helpompaa vain päivittää se kuukausittain
"silloin kun asensin sen tehtiin joku yum update tai vastaava komento että sen hetkiseen tilaan ainakin päivittyi mutta ei varmaan sen jälkeen sitten ole."
Tuo tarvitsisi tehdä kuukausittain.
"niin voikohan sen jostain nähdä onko siinä automaattiset päivitykset päällä vai ei."
Siinä ei oletuksena ole automaattisia päivityksiä käytössä ellei erikseen säädä, mutta on varmempaa hoitaa se käsin niin ainakin tietää, että jos tulee jotain harmia että mistä se johtui. Sitä tarvitsee kuitenkin olla silloin varmasti tavoitettavissa jos jotain sattuu ja on pienempi paha jos päivittäminen vähän myöhästyy kuin että tapahtuukin jotain odottamatonta ja järjestelmä on jumissa.
Se päivitys on kuitenkin nopea operaatio. Etenkin silloin jos on tehty se minimi asennus missä on pelkkä musta ruutu ja ylimääräiset roippeet otettu pois niin siihen ei sitten tule paljoa päivityksiäkään.
"uptime on korkea että ei se ainakaan uudelleen ole kertaakaan käynnistynyt kuten windows päivitysten jälkeen."
CentOS ei käynnistä itseään päivitysten jälkeen. Päivitykset tulee voimaan kun uudelleenkäynnistää niitä osia joihin päivitys vaikuttanut tai jos kerneli päivittyy niin uudelleenkäynnistää koko järjestelmän. Varmaan yksinkertaisinta silloin kerran kuussa päivittää ja uudelleenkäynnistää järjestelmän eikä ota stressiä jos vähän myöhästyy.
Kannattaa sitten muista ajoissa uusia ne järjestelmät. Asterisk julkaisut ovat tuettuja noin julkaisusta 5v ja CentOS julkaisut ovat tuettuja n. 10v julkaisusta.
no nyt tein sen yum update homman viikonloppuna ja käynnistin uudelleen mutta sen jälkeen alkoi ihmeellistä piikkiä tulemaan kuormituksen valvontaan. http://aijaa.com/92pdqb
mikähän siinä nyt sitten on kun säännöllisin väliajoin tulee tuollaista. verkon liikennettä ei näy olevan normaalia enempää kyseisinä aikoina. eihän se kyllä vie kuin puolet prosessorin käytössä olevasta tehosta jos 100% on maksimi mutta silti outoa.
puheluiden määrä ei tunnu juurikaan kuormittavan, ei oikeastaan näy yhtään missään mutta ei kai siinä mitään kuormaa oikeastaan ole kun kodekki muunnostakaan ei tehdä vaan G.711 ulaw/alaw menee vaan läpi.
asterisk en ole päivittänyt ja se on versiota 11.18.0 mikä pitäisi olla extended versio ja pitkällä tuella ainakin niin olin katsovinani kun asensin. se on tosiaan niin että siinä on pelkkä komentorivi käytössä ja tiedostoja editoidaan myös winscp ohjelman avulla eli ei ole myöskään samba palvelin käytössä.
yksi mitä olen miettinyt on että jos ulkoiseen palomuuriin laittaisi sip yhteydet sisääpäin sallituksi vain sip-trunkkien ip osoitteista mutta en ole uskaltanut jos sip-palvelun tarjoaja muuttaa osoitteita ja sitten lakkaa toimimasta.
"no nyt tein sen yum update homman viikonloppuna ja käynnistin uudelleen mutta sen jälkeen alkoi ihmeellistä piikkiä tulemaan kuormituksen valvontaan."
Varmaan voisi tutkia tarkemmin käynnistämällä CentOS koneessa päätteeltä "top", että mikä prosessi siellä tarkalleen kuormittaa ja sitten katsoa tämän logeja, että mitä siellä tapahtuu.
Sitten vaikka kuukauden kuluttua kun päivittää niin päivittää myös sen Asteriskin jos siihen tullut päivitystä.
Jos on vaikka vuosia ollut päivittämättä niin voi tulla niin paljon muutosta, että vaikka pitäisikin toimia samalla tavalla jotain pientä häiriötä on mahdollista tulla. Esim. niin, että korjaavat CentOS:ssa vian mutta Asteriskissa on tehty myös virhe ja tehty jotain mikä rikkoutuu kun CentOS:n toiminto toimiikin oikein päivityksen jälkeen. Sitten se voi korjaantua Asteriskin päivityksellä.
"asterisk en ole päivittänyt ja se on versiota 11.18.0 mikä pitäisi olla extended versio ja pitkällä tuella ainakin niin olin katsovinani kun asensin."
11.20 pitäisi olla nyt.
nyt sain sen kiinni ja kyseessä on prosessi sshd joka käyttää prosessoria hetkellisesti 14,3% teholla. se aina hetkeksi välillä häviää ja sitten tulee takaisin. http://aijaa.com/D0FJM5
voikohan se olla että joku yrittää hakata ssh salasanaa jotain kautta auki. mutta ssh ei ole sallittu ulkoverkosta ja portti palomuurista kiinni niin melko oudolta tuntuu. sisäverkon pitäisi olla melko turvallinen ettei sieltä hakattaisi auki ellei sitten jollain ole jotain kautta jonkinlainen takaportti mistä pääsee sisään.
ja asteriskin päivittäminen on suurempi operaatio kun se pitää ilmeisesti paketti kerrallaan latailla ja käytännössä asentaa kokonaisuudessaan uudelleen ihan kuin aloittaisi alusta koko homman. siksi en päivittänyt sitä.
"nyt sain sen kiinni ja kyseessä on prosessi sshd joka käyttää prosessoria hetkellisesti 14,3% teholla. se aina hetkeksi välillä häviää ja sitten tulee takaisin. "
Siinä on varmaan cron:lla joka 6h välein tehtävä ajoitettu operaatio. Saattaa jopa liittyä siihen monitorointiin eikä Asteriskiin.
"ja asteriskin päivittäminen on suurempi operaatio kun se pitää ilmeisesti paketti kerrallaan latailla ja käytännössä asentaa kokonaisuudessaan uudelleen ihan kuin aloittaisi alusta koko homman. siksi en päivittänyt sitä."
Siihenkin tulee rutiini. Eihän tuo montaa kertaa vuodessa päivity.
"Siinä on varmaan cron:lla joka 6h välein tehtävä ajoitettu operaatio. Saattaa jopa liittyä siihen monitorointiin eikä Asteriskiin."
yritin katsoa tuon cronin mutta tuli vain ilmoitus että crontabeja ei löytynyt. eli ei siinä todennäköisesti ole mitään sellaista. sain myös auki sen konfiguraatiotiedoston mutta sielläkään ei ollut määriteltynä yhtään ajoitettua tehtävää.
ei se siinä monitorissa voi olla kun on toinenkin linux kone missä ei esiinny vastaavaa. tosin siinä on kovempi kuorma pohjalla koko ajan ja ubuntu eikä cent os.
ja tämä monitorointi homma oli laitettava sen takia kun oli epätietoisuutta lähinnä kaistan käytöstä ja ongelmia puheluissa kun qos ei toiminut ja muitakin ongelmia oli. sitten kun asensin sen niin se löysi kaikkea muutakin ja kun annoin sinne salasanat niin alkoi löytyä vielä lisää tietoa.
sitten on muuten selvinnyt että luulin 24/1 adsl olevan liian hidas ja aluksi tarkkailin sitä satunnaisesti reitittimen hallinnasta mutta sen jälkeen kun kaikki ongelmat on selvinnyt (monitori asennettu vasta sen jälkeen) niin download puolella suurin piikki on vain 7047kbit/s ja upload 569kbit/s. ja suurimman osan aikaa kuormitus pyörii downloadilla reilusti alle kahden megassa, satunnaisesti on piikkejä ylöspäin mutta nekin yleensä alle neljän megan. että olisi näköjään 8/1 riittänyt myös.
dfs kuluttaa vajaat 300kbit/s upload kaistaa silloin kun replikointia on kun se on qos rajoitettu siihen. muutenhan se täyttäisi koko uploadin aina kun tiedostot siirtyy.
se asterisk saa olla toistaiseksi täytyy jossain vaiheessa katsoa päivittäisikö sitäkin.
"ei se siinä monitorissa voi olla kun on toinenkin linux kone missä ei esiinny vastaavaa. tosin siinä on kovempi kuorma pohjalla koko ajan ja ubuntu eikä cent os."
En tiedä miksi tuossa Asterisk koneessa on päädytty CentOS:n mutta jos on Ubuntua käytössä muualla niin voisi olla ehkä hyvä idea muuttaa se CentOS jossain vaiheessa Ubuntuun.
Lähinnä se vaan kun tiettävästi Asteriskin kehittäjät käyttävät itse Ubuntua ja Asterisk löytyy myös Ubuntun paketeista, että koko hoito päivittyy sitten näppärästi yhdellä kertaa ja voi uusia sitä sitten vaikka 2v tai 4v välein.
Voisi miettiä siis esim. vuoden kuluttua muutosta Ubuntu 16.04 LTS serveriin niitä vehkeitä.
"sitten on muuten selvinnyt että luulin 24/1 adsl olevan liian hidas ja aluksi tarkkailin sitä satunnaisesti reitittimen hallinnasta mutta sen jälkeen kun kaikki ongelmat on selvinnyt (monitori asennettu vasta sen jälkeen) niin download puolella suurin piikki on vain 7047kbit/s ja upload 569kbit/s. ja suurimman osan aikaa kuormitus pyörii downloadilla reilusti alle kahden megassa, satunnaisesti on piikkejä ylöspäin mutta nekin yleensä alle neljän megan. että olisi näköjään 8/1 riittänyt myös."
24/1 pitäisi riittää 12 samanaikaiselle käyttäjälle. 2M per samanaikainen käyttäjä on aika realistinen mitoitus.
"dfs kuluttaa vajaat 300kbit/s upload kaistaa silloin kun replikointia on kun se on qos rajoitettu siihen. muutenhan se täyttäisi koko uploadin aina kun tiedostot siirtyy."
..tuo taas kuullostaa siltä, että Windowsia mukana siellä. Helpottaa hommia kun pyrkii vakioimaan noita, että kaikki vehkeet joko CentOS 7, Ubuntua 16.04 LTS (kohta) tai Windows 10, jos mitenkään mahdollista tai sitten vaikka vaan kahta näistä jos jostain syystä ei yhdellä alustalla pärjää.
Vähän riippuu vaatimuksista millä kannattaa mennä. Yksinkertaisena pitäminen on kova juttu. Ja jos on paikallisesti asennettu jotain palvelimia niin niissäkin voi yksinkertaistaa hommia rajusti virtualisointia hyödyntämällä. Minulla on esimerkiksi kotona kaksi pientä palvelinta jossa voin virtualisoida Dockerilla lähes mielivaltaisen määrän sovelluksia kun olen yhtenäistänyt näiden tietokannat.
"En tiedä miksi tuossa Asterisk koneessa on päädytty CentOS:n mutta jos on Ubuntua käytössä muualla niin voisi olla ehkä hyvä idea muuttaa se CentOS jossain vaiheessa Ubuntuun."
ei siihne ole muuta syytä kun netistä katsoin ohjeita miten se asennetaan ja siinä nimenomaan käytettiin cent osia. ja tuntui että muutkin käyttää asteriskin kanssa nimenomaan cent osia ja se on juuri sille sopiva joten siksi otin sen käyttöön.
"Lähinnä se vaan kun tiettävästi Asteriskin kehittäjät käyttävät itse Ubuntua ja Asterisk löytyy myös Ubuntun paketeista, että koko hoito päivittyy sitten näppärästi yhdellä kertaa ja voi uusia sitä sitten vaikka 2v tai 4v välein.
Voisi miettiä siis esim. vuoden kuluttua muutosta Ubuntu 16.04 LTS serveriin niitä vehkeitä."
luulin että asterisk on juuri cent osille eikä ubuntulle. ei sitä vuoden kuluttua kannata alkaa päivittämään kun siinä taisi olla tukea pidempäänkin, jos en nyt väärin muista. päivittää sitten kun tuki alkaa loppumaan.
"24/1 pitäisi riittää 12 samanaikaiselle käyttäjälle. 2M per samanaikainen käyttäjä on aika realistinen mitoitus."
niin no näyttää se riittävän mutta alussa oli ongelmia juuri tuon kanssa ja luulin ettei riitä eikä silloin ollut vielä tuota monitoria asennettuna ja jossain vaihessaa päätin että täytyy saada selville mikä on oikeasti yhteyksien käyttöaste eikä arvailla ja näköjään aika tyhjäkäynnillä ne kapasiteettiin nähden tuntuu kuitenkin olevan.
yllättävän paljon sitä tarvittaessa siirtää megaisella linjallakin kun rupeaa laskemaan että jos koko ajan täysillä menee niin kymmenisen gigaa vuorokaudessa ja jos data vielä pakattua niin menee enemmänkin. vaatii vaan että reaaliaikainen liikenne priorisoidaan ja jatkuvaa siirtoliikennettä rajoitetaan niin ettei se häiritse muuta käyttöä.
"..tuo taas kuullostaa siltä, että Windowsia mukana siellä. Helpottaa hommia kun pyrkii vakioimaan noita, että kaikki vehkeet joko CentOS 7, Ubuntua 16.04 LTS (kohta) tai Windows 10, jos mitenkään mahdollista tai sitten vaikka vaan kahta näistä jos jostain syystä ei yhdellä alustalla pärjää."
on windowsilla lähes kaikki ja näitä muita otettu sitten kun hommat ei ole windowsilla enään onnistunut mitenkään. tällä hetkellä kaksi linux konetta toinen tämä asterisk ja toinen eräänlaista mittausdataa keräävä.
mielellään vakioisi pois nämä muut ja käyttäisi vain windowsia mutta kun ei onnistu tai tulee niin kalliiksi ettei sen takia onnistu sitten.
"ei siihne ole muuta syytä kun netistä katsoin ohjeita miten se asennetaan ja siinä nimenomaan käytettiin cent osia."
Asiaan saattoi vaikuttaa se, että kun se on jo Ubuntussa laitettavissa päälle suoraan ja sitten vaan vähän konffausta niin ehkä siksi ne ohjeet sille CentOS:lle. Itse ollut asteriskin kanssa tekemisissä kun asensin videoneukkari/palaveri/opetus jne. järjestelmän niin siinä oli Asterisk juurikin Ubuntulla. Tosin on nyt sitten vaihtanut FreeSWITCH:n
"ei sitä vuoden kuluttua kannata alkaa päivittämään kun siinä taisi olla tukea pidempäänkin, jos en nyt väärin muista. päivittää sitten kun tuki alkaa loppumaan."
Siinä pidempään roikkumisessa ei saa mitään hyötyä. Uuden version ja yhtenäistämisen hyödyt saa vaihtamalla.
Jos vakioisi ne Ubuntut vaikka 16.04 LTS:n niin varmaan kannattaisi asentaa 16.04.1 LTS imagesta sitten kun 16.04.2 LTS pihalla. On sitten jotain 9-10kk korjattu julkaisun jälkeisiä pikkuvikoja niin on siinä vaiheessa jo erittäin luotettava. Se käyttäisi siinä sitten pitkän tuen kerneliä ja upgradettaa sen muuten suoraan tuohon. Eli joskus vuoden 2017 helmikuussa. Samaan aikaan sitten päivittäisi sen toisenkin koneen niin olisi sitten näissä kahdessa yhtenäinen alusta ja Asterisk osana siellä ettei sekään olisi erillinen palikka. Niitä ja voi sitten jatkossa päivitellä noita uudemmaksi 4v välein.
"on windowsilla lähes kaikki ja näitä muita otettu sitten kun hommat ei ole windowsilla enään onnistunut mitenkään. tällä hetkellä kaksi linux konetta toinen tämä asterisk ja toinen eräänlaista mittausdataa keräävä."
Niinno, Windowstekniikalla olisi mittausdatan kerääjä olisi Windows Embedded ja Asteriskin sijasta kai olisi tarkoitus käyttää Skype for Businessia tms. Mutta jos Windows syystä tai toisesta ei kaikkeen käy niin sitten harkitsisin sitä, että laittaisi kaikki Ubuntuksi tai CentOS:lle.
Ubuntussa keskitetty käyttäjien todennuksen tekeminen on sellaista nyhertämistä, että jos haluaa selvitä helpolla niin tapauksesta riippuen <5 tai <10
työasemaa/käyttäjää. Toisaalta varsinkin virtuaalipalvelimissa tuo on tosi hyvä.
Ubuntu on vähän suunnattu siihen, että päätelaitteita ei käytä kuka tahansa vaan on enemmän tai vähemmän tiettyjen henkilöiden käytössä ja niistä sitten kirjaudutaan järjestelmiin jotka ovat pilvessä. Joko omassa tai jonkun muun, vaikka niihin toki päivitykset saakin jaettua helposti keskitetysti mutta ei niin kiva siinä vaiheessa kun paljon jengiä joka lomilta tullessaan unohtanut salasanansa ja jne.
Kun on enemmän työasemia niin CentOS:lla saisi koko konaisuuden helposti yhtenäistettyä pitkäikäiselle, vakaalle alustalle jota uusitaan n. 7v välein ja silloin se on pieni harmi laittaa Asterisk johonkin erillisenä palikkana.