VoIP協(xié)議的網(wǎng)絡安全保護

　　VoIP指的是在使用了互聯(lián)網(wǎng)協(xié)議的網(wǎng)絡上進行語音傳輸，其中的IP是代表互聯(lián)網(wǎng)協(xié)議，它是互聯(lián)網(wǎng)的中樞，互聯(lián)網(wǎng)協(xié)議可以將電子郵件、即時信息以及網(wǎng)頁傳輸?shù)匠汕先f的PC或者手機上。所有影響數(shù)據(jù)網(wǎng)絡的攻擊都可能會影響到VoIP網(wǎng)絡，如病毒、垃圾郵件、非法侵入、DoS、劫持電話、偷聽、數(shù)據(jù)嗅探等。唯一的不同是，我們更樂于采取一些措施來保護其它的網(wǎng)絡。對于VoIP，卻鮮有什么具體措施。事實上，只有我們采取一些保護措施，這項技術(shù)才可能取得真正的成功。

　　下面探討可以保護VoIP的方法：

　　1、限制所有的VoIP數(shù)據(jù)只能傳輸?shù)揭粋€VLAN上

　　Cisco建議對語音和數(shù)據(jù)分別劃分VLAN，這樣有助于按照優(yōu)先次序來處理語音和數(shù)據(jù)。劃分VLAN也有助于防御費用欺詐、DoS攻擊、竊聽、劫持通信等。VLAN的劃分使用戶的計算機形成了一個有效的封閉的圈子，它不允許任何其它計算機訪問其設備，從而也就避免了電腦的攻擊，VoIP網(wǎng)絡也就相當安全;即使受到攻擊，也會將損失降到最低。

　　2、監(jiān)控并跟蹤VoIP網(wǎng)絡的通信模式

　　監(jiān)控工具和入侵探測系統(tǒng)能幫助用戶識別那些侵入VoIP網(wǎng)絡的企圖。詳細觀察VoIP日志可以幫助發(fā)現(xiàn)一些不規(guī)則的東西，如莫名其妙的國際電話或是本公司或組織基本不聯(lián)系的國際電話，多重登錄試圖破解密碼，語音暴增等。

　　3、保護VoIP服務器

　　必須采取效措施來保障服務器的安全以抵御來自內(nèi)部或外部的入侵者用嗅探技術(shù)來截獲數(shù)據(jù)。因為VoIP電話機擁有固定的IP地址和MAC地址，所以攻擊者易于據(jù)此潛入。建議用戶限制IP和MAC地址，不允許隨便訪問VoIP系統(tǒng)的超級用戶界面，并在SIP網(wǎng)關(guān)之前建立另一道防火墻，這樣就會在一定程度上限制對于網(wǎng)絡系統(tǒng)的侵入。

　　4、使用多重加密

　　僅僅對發(fā)送的數(shù)據(jù)包加密是遠遠不夠的，必須對所有的電話信號進行加密。對話音加密會防止攔截者的語音插入到用戶會話中。在這方面，SRTP協(xié)議能夠?qū)Χ它c通信加密，TLS能夠?qū)φ麄€通信過程加密。應該通過在網(wǎng)關(guān)、網(wǎng)絡、主機層面上提供強大的保護來支持語音傳輸加密。

　　5、建立VoIP網(wǎng)絡的冗余機制

　　要時刻準備著可能會遭到病毒、DoS攻擊，它們可能會導致網(wǎng)絡系統(tǒng)癱瘓。構(gòu)建能夠設置多層節(jié)點、網(wǎng)關(guān)、服務器、電源及呼叫路由器的網(wǎng)絡系統(tǒng)，并與不只一個供應商互聯(lián)。經(jīng)常性的對各個網(wǎng)絡系統(tǒng)進行考驗，確保其工作良好，當主服務網(wǎng)絡癱瘓時，備用設施可以迅速接管工作。

　　6、將內(nèi)部網(wǎng)絡與Internet分開

　　將電話管理系統(tǒng)與網(wǎng)絡系統(tǒng)置于國際互聯(lián)網(wǎng)絡直接訪問之外是一個不錯的選擇，將語音服務與其它服務器置于相分離的域中，并限制對其訪問。

　　7、將軟終端電話(softphone)的使用減至最少

　　VoIP軟終端電話易于遭受電腦黑客攻擊，即使它位于公司防火墻之后，因為這種東西是與普通的PC、VoIP軟件及一對耳機一起使用的。而且，軟終端電話并沒有將語音和數(shù)據(jù)分開，因此，易于受到病毒和蠕蟲的攻擊。

　　8、使用提供數(shù)字安全證書的商家

　　如果IP電話商能夠提供證明書來對設備進行認證，用戶基本上可以確信其通信是安全的，并且不會廣播到其它設備。

　　9、確保網(wǎng)關(guān)的安全

　　要配置網(wǎng)關(guān)，使那些只有經(jīng)過允許的用戶才可以打出或接收VoIP電話，列示那些經(jīng)過鑒別和核準的用戶，這可以確保其它人不能占線打免費電話。通過SPI防火墻、應用層網(wǎng)關(guān)、網(wǎng)絡地址轉(zhuǎn)換工具、SIP對VoIP軟客戶端的支持等的組合，來保護網(wǎng)關(guān)和位于其后的局域網(wǎng)。

　　10、對于實際安全性進行評估

　　要確信只有經(jīng)過鑒別的設備和用戶，才可以訪問那些經(jīng)過限制的以太網(wǎng)端口。管理員常常被欺騙，接授那些沒有經(jīng)過允許的軟終端電話的請求，因為黑客們能夠通過插入RJ44端口輕易地模仿IP地址和MAC地址。