|
現在流行的IP網絡模型將網絡通信進程分成了不同層面——這樣讓人更易于理解，部署和調試。不管是國際標準組織制定的7層模型，或是美國國防部開發的4層模型，都能讓人更好地理解每一層面上運作的協議，對所有IP加密來說也都是必要的（包括VoIP）。 當然，在所有安全措施當中，多層次方法的效果最好。例如，你可能會為保護自己的家庭財產免遭盜賊毒手而實施一個多層次方法：在房子周圍豎起籬笆，并鎖上了籬笆的大門；在院子里養一條大狗；又在門上和窗戶上安裝防盜鎖；然后又安裝了一套防盜報警系統；最后還把家里值錢的東西放在一個很隱秘的地方，以防萬一有人可以繞過你以上所有安全措施并偷走值錢東西。 同樣，要保護你的VoIP網絡，最好的方法也是采取一種多層次安全機制，在潛在入侵者的攻擊路線上盡可能多地制造各種障礙。 分離語音和數據網絡 要建立一個安全的VoIP網絡，首要的步驟就是將其從你的數據網絡中獨立出來。 然將所有網絡集成到一起，可能在管理的簡易性及協同工作方面更加理想，但并不安全。最好的選擇是使用VLAN交換機將數據網絡和語音網絡從邏輯上分離開來——這意味著對數據網絡進行的攻擊將不會影響到你的VoIP系統。 要將VoIP網絡從數據網絡中分離出來，首先要將分離VLAN上的VoIP話機設為非路由的地址；然后禁止連接互聯網的電腦與VoIP之間有任何交流；接下來還要使用存取控制列表（Access control lists）來阻止VLAN之間的通訊。 配備VoIP專用防火墻 對一個IP網絡來說，邊界保護通常意味著使用防火墻，但是一個老舊的防?星際遣皇屎蟅oIP網絡的。你需要一個特別設計的防火墻，它得能識別和分析VoIP協議，能對VoIP的數據包進行深度檢查，并能分析VoIP的有效載荷以便發現任何與攻擊有關的蛛絲馬跡。 如果你的VoIP部署使用了SIP協議（Session Initiation Protocol），那么防火墻就應當能執行下述操作：監控進出的SIP信息，以便發現應用程序層次上的攻擊；支持TLS（傳輸層安全）；執行基于SIP 的NAT以及介質端口管理；檢測非正常的呼叫模式；記錄SIP信息的詳情，特別是未經授權的呼叫。 保護好VoIP網關 網關是數據進出VoIP網絡的關鍵點，它會同時連接不同的網絡，如IP網絡和公共電話交換網（PSTN）。你應當在網關上使用授權機制以及存取控制，以便控制可通過VoIP系統撥打和接聽電話，以及設定可以執行管理任務的不同人員權限等等。 |
