Open poort 22 nodig op een 3CX Debian installatie?

[dxfoxd]

Hallo,

Ik heb een 3CX installatie (v18) op een lokale Linux server in een aparte Debian (v10) container en deze werkt prima (SOHO toepassing). Na een zoveelste ghost call naar één van de toestellen ben ik in de logs gaan zoeken wat de oorzaak hiervan is. Mij viel op dat er in de router logs veel pogingen worden onderschept (of niet...) naar port 22, zover ik kan zien (steekproefsgewijs gecontroleerd) allen van een dubieuze herkomst (China, Rusland, etc.)

Om een indruk te krijgen: (192.168.10.68 is de lokale IP van de 3CX server)

[LAN access from remote] from 35.228.169.211:52712 to 192.168.10.68:22, Thursday, January 27, 2022 14:25:37
[LAN access from remote] from 49.88.112.73:12706 to 192.168.10.68:22, Thursday, January 27, 2022 14:25:26
[LAN access from remote] from 185.201.89.122:52572 to 192.168.10.68:22, Thursday, January 27, 2022 14:25:22
[LAN access from remote] from 49.88.112.73:34073 to 192.168.10.68:22, Thursday, January 27, 2022 14:25:21
[LAN access from remote] from 49.88.112.73:56934 to 192.168.10.68:22, Thursday, January 27, 2022 14:25:16
[LAN access from remote] from 112.85.42.229:57609 to 192.168.10.68:22, Thursday, January 27, 2022 14:25:04
[LAN access from remote] from 112.85.42.229:20862 to 192.168.10.68:22, Thursday, January 27, 2022 14:24:50
[LAN access from remote] from 112.85.42.229:57612 to 192.168.10.68:22, Thursday, January 27, 2022 14:24:37
[LAN access from remote] from 185.201.89.122:39050 to 192.168.10.68:22, Thursday, January 27, 2022 14:24:23
[LAN access from remote] from 112.85.42.229:24985 to 192.168.10.68:22, Thursday, January 27, 2022 14:24:22
[LAN access from remote] from 112.85.42.229:53851 to 192.168.10.68:22, Thursday, January 27, 2022 14:24:08
[LAN access from remote] from 112.85.42.229:13630 to 192.168.10.68:22, Thursday, January 27, 2022 14:23:52
[LAN access from remote] from 13.127.49.199:46402 to 192.168.10.68:22, Thursday, January 27, 2022 14:23:50
[LAN access from remote] from 35.228.169.211:52772 to 192.168.10.68:22, Thursday, January 27, 2022 14:23:34
[LAN access from remote] from 49.88.112.73:21489 to 192.168.10.68:22, Thursday, January 27, 2022 14:23:27
[LAN access from remote] from 185.201.89.122:53758 to 192.168.10.68:22, Thursday, January 27, 2022 14:23:24
[LAN access from remote] from 185.201.89.122:40236 to 192.168.10.68:22, Thursday, January 27, 2022 14:22:25
[LAN access from remote] from 49.88.112.73:34343 to 192.168.10.68:22, Thursday, January 27, 2022 14:21:54
[LAN access from remote] from 35.228.169.211:54590 to 192.168.10.68:22, Thursday, January 27, 2022 14:21:42
[LAN access from remote] from 185.201.89.122:54942 to 192.168.10.68:22, Thursday, January 27, 2022 14:21:29
[LAN access from remote] from 185.201.89.122:41420 to 192.168.10.68:22, Thursday, January 27, 2022 14:20:34
[LAN access from remote] from 49.88.112.73:28734 to 192.168.10.68:22, Thursday, January 27, 2022 14:20:27
[LAN access from remote] from 49.88.112.73:45571 to 192.168.10.68:22, Thursday, January 27, 2022 14:20:22

En dit is pas in een tijdspanne van 5 minuten.

Alleen de vereiste poorten van 3CX worden door de router doorverwezen naar de 3CX server. Poort 22 dus niet, ook niet naar een ander intern adres. Het is geen uitgebreide log van de router en ik weet dus niet of de 'dubieuze partijen 'in hun pogingen slagen of al bij de router worden tegengehouden. Dan is het ook wel weer interessant hoe de router bepaalt dat een pakket bestemd voor poort 22 naar dit interne adres moet worden doorverwezen, omdat er minimaal 5 andere interne systemen zijn die poort 22 ook open hebben staan. Maar dat is een vraag die op een ander forum thuishoort denk ik.

Maar die ghost calls doen het e.e.a. vermoeden dit niet in alle gevallen dit wordt voorkomen. Tot nu toe is er geen schade aangericht, maar ik zet alles liever potdicht.
Poort 22 is geopend op de Debian server (zie afbeelding onder) . Ik vraag mij af of ik deze zonder problemen (althans, voor de 3CX server) kan sluiten. Heeft iemand hier ervaring mee. Ook andere beveiligingstips zijn van harte welkom.

Peter

 

[complex1]

Poort 22 heb je alleen nodig als je m.b.v. PuTTY of WinSCP onderhoudswerkzaamheden aan je server wilt uitvoeren.
Voor 3CX heb je deze poort niet nodig, hiervoor gebruik je poort 5000/5001. Poort 22 mag je sluiten.
Als je Ghost Calls krijg denk ik dat je ergens een "groot beveiligingslek" in de router heb zitten, ook omdat je via poort 22, die in de router niet eens geopend staat, inlog pogingen heb.
Wat misschien ook is, is dat je ergens in je LAN een geïnfecteerd apparaat heb zitten.

Heb je 3CX m.b.v. de ISO geïnstalleerd?

Installing 3CX using 3CX Debian ISO

Read the steps required to install 3CX on Debian using the ISO. If you are not so familiar with Linux or Debian, this guide is ideal for you.

www.3cx.com

 

[dxfoxd]

Dank, Ik heb toegang tot de console via de VM ICG, dus SSH heb ik niet nodig. Ik heb de SSH service nu gestopt en veiligheidshalve maar uitgeschakeld. De laatste gaf nog als melding
Removed /etc/systemd/system/multi-user.target.wants/ssh.service.
Nog iets over opgezocht, maar lijkt mij voor alleen de 3CX server in een VM omgeving geen probleem. Er draaien geen andere processen op deze VM. Dit is trouwens inderdaad de 3CX Debian ISO.

Dat de log van de router deze regels laat zien wil misschien nog niet zeggen dat deze ook zijn doorgeleid van de 3CX machine, maar wel dat de requests van buiten de LAN afkomstig zijn. Ik vind het alleen vreemd dat de router deze in de log wel aan de 3CX machine koppelt. Ik ben bijvoorbeeld ook nog een andere server staan met poort 22 open. Heb de vraag over de betekenis van die log regels ook in het forum van Netgear gezet, misschien weten zij meer. Als het waar is wat jij zegt, dan is er idd een beveiligingsprobleem in de Netgear router. Ik zal de komende dagen de logs van de router blijven volgen nu ssh op de 3CX VM is uitgeschakeld.

-EDIT-
Ook dit laatste lijkt nu opgelost. Bij het controleren van de router settings stond de IP van de 3CX VM in de DMZ aangemeld. Ik meen mij te herinneren omdat dit destijds de enige mogelijkheid was om voorbij firewall check van 3CX te komen. Maar nu deze is verwijderd in de DMZ geeft de fw checker nog steeds een goed resultaat. Ook zijn de laatste 5 minuten geen log entries meer gesignaleerd naar port 22. Dus so far so good. Als morgen e.e.a. uit de nachtstand gaat zal in de feitelijke werking eens testen.

Dank alvast!