Kerio Operator. Kerio Technologies

Transkript

1 Kerio Operator Příručka administrátora Kerio Technologies

2 2011 Kerio Technologies s.r.o. Všechna práva vyhrazena. Tento manuál popisuje produkt: Kerio Operator ve verzi Změny vyhrazeny. Aktuální verzi produktu a manuálů naleznete na WWW stránkách Informace o registrovaných ochranných známkách a ochranných známkách jsou uvedeny v příloze A.

3 Obsah 1 Úvod Další materiály Instalace Kerio Operator Připojení do sítě Kerio Operator Box Připojení do sítě Rozhraní pro komunikaci Kerio Operator Administration Kerio MyPhone Kontextová nápověda Registrace produktu a licence Registrace produktu přes WWW stránky Registrace produktu v administračním rozhraní Informace o licenci a import licenčního klíče Licenční politika Bezpečný provoz ústředny Nastavení firewallu umístěného v lokální síti Nastavení integrovaného firewallu Nastavení ochrany proti hádání hesel Zákaz odchozích hovorů uživatelů podle předvoleb Omezení pro odchozí hovory Správa rozhraní SIP Rozhraní pro poskytovatele SIP služeb Rozhraní pro libovolný druhý SIP server Přepisovací pravidla Nastavení kodeku pro datový proud Odstranění rozhraní Záloha směru vytvořením alternativního spojení Správa klasického telefonního rozhraní Nastavení PRI/BRI rozhraní pro komunikaci s poskytovatelem Nastavení PRI/BRI rozhraní pro komunikaci s druhou ústřednou Nastavení přepisovacích pravidel Postupné vytáčení číslic

4 8 Nastavení uživatelských účtů a telefonních linek Definice lokálního účtu a přiřazení linky Nastavení Caller ID Nastavení přesměrování hovorů Změna přístupových práv Deaktivace uživatelského účtu Telefonní linky Definice lokální linky Automatická konfigurace telefonů Nastavení ústředny Ruční připojení telefonů Import z CSV souboru Odebrání telefonu z ústředny Restart automaticky konfigurovaných telefonů Firmwary Mapování linek / uživatelů z adresářových služeb Nastavení mapování v administračním rozhraní Číslovací plán Změny číslovacího plánu Telefonické konference Založení nové konference Přihlášení a odhlášení se do/z konference Sledování aktivních konferencí Fronty hovorů Definice fronty hovorů Nahrávání hovorů Agenti Oznámení pro čekající ve frontě Přepojení při nedostupnosti Sledování front hovorů Skupiny prozváněných čísel Nastavení skupiny Vícenásobná registrace linky

5 17 Automatická hlasová menu Přidání nového menu Jednoduché vytvoření hlasové nahrávky Hlasová pošta Nastavení hlasové pošty Přímý přístup do hlasových schránek uživatelů Odesílání hlasových zpráv do poštovní schránky uživatele Nastavení PIN a u uživatelům Nastavení tísňových linek Přidání tísňové linky Přednastavený seznam tísňových linek Přímá volba tísňové linky SSL certifikáty Vytvoření self-signed certifikátu Vytvoření certifikátu podepsaného certifikační autoritou Zálohování Zálohování Obnova ze zálohy Aktualizace produktu Sít ová nastavení Změna sít ového nastavení NAT Kerio Operator je umístěn v Internetu a hardwarové telefony za NAT Kerio Operator je umístěn za NAT a hardwarový telefon je umístěn v Internetu Firewall Nastavení času Uživatelská práva Zákaz odchozích hovorů uživatelů podle předvoleb Role pro přístup do systému Nastavení hudby při čekání Přidání nové sbírky Nastavení výchozí sbírky

6 26 Časové intervaly Skupiny IP adres Sledování stavu ústředny Sledování aktivních hovorů Sledování aktivních konferencí Sledování front hovorů Stav systému Plánované úlohy Historie volání Záznamy Nastavení záznamů Config Debug Error Kernel Security Warning Notifikace Technická podpora Kontakty A Právní doložka B Použitý software open-source Slovníček pojmů Rejstřík

7 Kapitola 1 Úvod Kerio Operator je telefonní ústředna (tzv. PBX) pro malé a střední podniky, která umožňuje navázání telefonních hovorů protokolem SIP a také klasickou digitální telefonii ISDN (PRI/BRI). Kerio Operator umožňuje nejen obsluhu samotných hovorů, ale také umožňuje vytváření telefonních konferencí, obsluhuje fronty hovorů, umožňuje nahrávání automatických hlasových menu nebo například dokáže automatickou konfiguraci vybraných typů hardwarových IP telefonů. Kerio Operator tak představuje komplexní řešení pro vaši internetovou telefonii. Kerio Operator můžete získat bud jako hardwarové zařízení nebo v softwarové podobě. Kerio Operator je založen na open-source telefonní ústředně Asterisk (více viz oficiální web Další materiály Kromě manuálu Kerio Operator, Příručka administrátora, který právě čtete, existuje k produktu Kerio Operator následující dokumentace: Kerio Operator, Krok za krokem dokumentace obsahuje informace o instalaci a základním nastavení ústředny Kerio Operator. Kerio Operator Box, Instalační příručka dokumentace obsahuje informace o instalaci zařízení Kerio Operator Box. Kerio Operator, Příručka uživatele dokumentace obsahuje informace o používání rozhraní Kerio MyPhone a nastavení softwarových telefonů. Kromě samotné dokumentace vám může při řešení problémů pomoci následující: Kontextová nápověda zabudovaná přímo v produktu (více viz kapitola 3.3). Produktové fórum zde se můžete setkat s aktuálními problémy administrátorů používajících produkt a možná mezi nimi bude i řešení vašeho problému. Databáze znalostí zde je umístěn soubor článků, které řeší konkrétní problémy. 7

8 Kapitola 2 Instalace Instalace ústředny Kerio Operator se liší podle toho, zda jde o: Kerio Operator softwarová verze dodávané standardně v podobě ISO image. Kerio Operator Box ústředna je dodána na speciálním hardware. 2.1 Kerio Operator Systémové požadavky pro úspěšný provoz ústředny najdete na produktových stránkách ústředny Kerio Operator. Kerio Operator získáte v podobě standardního ISO image, který je potřeba vypálit na CD, a poté z něj nabootovat a nainstalovat operační systém ústředny Kerio Operator. Součástí celého procesu je samozřejmě také instalace ústředny Připojení do sítě Po nabootování systému se zobrazí konzole, která primárně zobrazuje IP adresu, na které je telefonní ústředna spuštěna. Používáte-li ve vaší síti službu DHCP, ústředna má nastaveno automatické přidělení IP adresy protokolem DHCP a sama se připojí do sítě. Pokud DHCP protokol nepoužíváte nebo jej nechcete použít pro ústřednu, je třeba IP adresu nastavit ručně. Aktuální sít ovou konfiguraci si můžete zobrazit (a případně také měnit) v konzoli ústředny v sekci Network Configuration. Pro nastavení statické sít ové adresy použijte tento postup: 1. V menu konzole vyberte volbu Network Configuration, 2. V sít ovém rozhraní, na kterém má ústředna komunikovat nastavte volbu Assign static IP address a doplňte IP adresu, masku sítě, IP adresu brány a DNS serveru. Znáte-li IP adresu, na které Kerio Operator komunikuje, můžete se k ní připojit přes webové rozhraní a nakonfigurovat ji (viz kapitola 3). Upozornění: Bezprostředně po připojení ústředny do sítě si důkladně přečtěte kapitolu 5 týkající se bezpečného provozu ústředny. Dodržení bezpečnostních zásad provozu ústředny je extrémně důležité. Nebude-li ústředna správným způsobem chráněna firewallem a dalšími bezpečnostními pravidly, může se stát, že se útočník dostane k vnitřní telefonní lince a bude z ní telefonovat, což vás může stát nemalé finanční prostředky. 8

9 2.2 Kerio Operator Box 2.2 Kerio Operator Box Kerio Operator Box série 1000 je zařízení, které obsahuje: CPU Celeron 1,5 GHz, 2 GB operační paměti RAM, 8 GB Industrial-Grade CompactFlash externí zdroj Kerio Operator Box série 3000 je zařízení, které obsahuje: CPU Pentium Core Duo 2,4 GHz, 2 GB operační paměti RAM, 16 GB Industrial-Grade CompactFlash, vhodné do racku, 1 slot na PCI kartu, kam je možné volitelně přidat: ISDN PRI (Primary Rate Interface) známé též jako T1 nebo E1 Digium TE122 (1 PRI port), ISDN BRI (Basic Rate Interface) Digium B410P (4 BRI porty). Bližší informace k zapojení zařízení do sítě najdete v manuálu Kerio Operator Box, Instalační příručka Připojení do sítě Při prvním startu zařízení je IP adresa nastavena staticky na Chcete-li konfiguraci změnit, lze tak učinit dvěma způsoby: v konzoli ke konzoli se lze připojit přes sériový kabel. V menu konzole vyberte volbu Network Configuration a upravte konfiguraci podle potřeby. v rozhraní Kerio Operator Administration v sekci Systém pro připojení k rozhraní (viz kapitola 3). K ústředně se připojte počítačem, kterému nastavíte následující parametry TCP/IP: IP adresa: Maska podsítě:

10 Instalace Poznámka: Vypnout zařízení lze následovně: 1. Přes konzoli se připojte k ústředně a zvolte příkaz Shutdown. 2. Kerio Operator série 1000 se nyní vypne. Kerio Operator série 3000 zastaví server, ale fyzické zařízení zůstává zapnuté. Proto vyčkejte do chvíle, až nebude možné připojit se k ústředně přes Kerio Operator Administration a zařízení ručně vypněte tlačítkem pwr umístěném na zařízení. 10

11 Kapitola 3 Rozhraní pro komunikaci Kerio Operator poskytuje dvě webová rozhraní: administrační (Kerio Operator Administration) a uživatelské (Kerio MyPhone). Pro přístup k oběma rozhraním doporučujeme použít následující prohlížeče: Firefox 3.5, 4 a 5 Internet Explorer 7, 8 a 9 Safari 4 a 5 Google Chrome 8 a vyšší Webová rozhraní jsou v současné době k dispozici v českém a anglickém jazyce. Změnit jazyk lze v pravém horním rohu rozhraní. Jako výchozí je nastaven automatický režim, který se řídí jazykovým nastavením prohlížeče. 3.1 Kerio Operator Administration Rozhraní umožňuje konfiguraci serveru administrátorovi Kerio Operatoru. K rozhraní lze z bezpečnostních důvodů přistoupit jen přes protokol HTTPS. Protokol navíc komunikuje na nestandardním portu Do prohlížeče však stačí zadat IP adresu nebo DNS jméno počítače, na kterém je Kerio Operator spuštěn. Protokol a port se automaticky správně přesměrují. URL tedy bude vypadat následovně: například tedy: Po zadání správného URL vás prohlížeč upozorní na problém s SSL certifikátem. Kerio Operator si ihned po instalaci vytvoří vlastní SSL certifikát, který však není podepsaný důvěryhodnou certifikační autoritou je podepsán pouze sám sebou (o této záležitosti se dozvíte více v kapitole 20). Protože víte o tom, že certifikát není podvržen, můžete odsouhlasit bezpečnostní výjimku a pokračovat v přihlášení k ústředně. V prohlížeči se otevře dialog pro zadání přihlašovacích údajů prvního účtu Kerio Operatoru. Jméno je automaticky nastaveno na Admin, heslo je třeba doplnit. Tyto údaje si dobře zapamatujte pro následné přihlášení do Kerio Operator Administration (viz obrázek 3.1). Po vytvoření účtu se zobrazí přihlašovací stránka Kerio Operator Administration. Doplňte zde dříve zadané jméno a heslo administrátora (viz obrázek 3.2). 11

12 Rozhraní pro komunikaci Obrázek 3.1 Vytvoření administrátorského účtu Obrázek 3.2 Přihlášení ke Kerio Operatoru Budete-li si chtít v budoucnu heslo změnit, postupujte následovně: 1. Přihlaste se do Kerio Operatoru přes protokol HTTPS (například: 2. Přejděte do sekce Konfigurace Uživatelé. 3. V seznamu uživatelů vyhledejte administrátorský účet, pod nímž jste nyní přihlášeni a poklikejte na něm. 4. V záložce Obecné změňte heslo a změnu potvrd te jeho zopakováním. 12

13 3.2 Kerio MyPhone 3.2 Kerio MyPhone Rozhraní poskytuje přístup uživatelům ke http(s)://ip.adresa.kerio.operatoru nebo http(s)://dns.jmeno.kerio.operatoru Po zadání správného URL se zobrazí přihlašovací stránka Kerio MyPhone (viz obrázek 3.3). Obrázek 3.3 Přihlášení ke Kerio Operatoru 3.3 Kontextová nápověda Webové rozhraní ústředny Kerio Operator obsahuje vestavěnou kontextovou nápovědu. Nápovědu používejte zejména tehdy, nejste-li si jisti, co je třeba doplnit do některého políčka nebo zda zaškrtnout tu či onu volbu. Kontextovou nápovědu zobrazíte kliknutím na otazník umístěný v pravém horním rohu hlavního okna (obrázek 4.1) nebo dialogu (obrázek 6.7). 13

14 Kapitola 4 Registrace produktu a licence Zakoupený produkt Kerio Operator je třeba zaregistrovat. Registraci ústředny Kerio Operator lze provést v administračním rozhraní (kapitola 3.1), případně na WWW stránkách společnosti Kerio Technologies. Pokud nebude Kerio Operator řádně zaregistrován, bude se chovat jako zkušební verze. Zkušební verze ústředny není nikterak funkčně omezena, je omezena pouze časově. Po 30 dnech provozu přestane Kerio Operator měnit konfigurační soubory Asterisku. Uživatelé se nadále přes ústřednu dovolají, ale nebude možné měnit v rozhraní Kerio Operator Administration žádné parametry serveru (například nebude možné přidávat uživatele a linky). Z výše uvedeného zároveň vyplývá, že rozdíl mezi zkušební a plnou verzí ústředny Kerio Operator je pouze v tom, zda si jí zaregistrujete či nikoliv. Každý zákazník má tedy možnost si produkt ve třiceti denní lhůtě vyzkoušet v konkrétních podmínkách. Po registraci již není třeba Kerio Operator znovu instalovat a nastavovat. 4.1 Registrace produktu přes WWW stránky Registrace přes web je umožněna na produktových stránkách společnosti Kerio Technologies ( Tento způsob registrace využijete zejména v případě, že Kerio Operator nemá přístup k Internetu. Registrací získáte licenční klíč (soubor s certifikátem licence.key), který je třeba importovat do ústředny. Import licenčního klíče popisuje kapitola 4.3. Poznámka: Přes web nelze zaregistrovat zkušební verzi ústředny Kerio Operator. 4.2 Registrace produktu v administračním rozhraní V Kerio Operator Administration je možno produkt zaregistrovat na úvodní obrazovce ústředny (viz obrázek 4.1), která se zobrazí vždy bezprostředně po spuštění Kerio Operator Administration. Upozornění: Je-li Kerio Operator chráněn firewallem, potom je třeba povolit na tomto firewallu odchozí HTTPS komunikaci pro Kerio Operator na standardním HTTPS portu 443. Pokud nebude HTTPS komunikace povolena, Kerio Operator se nebude moci přes zmíněný port připojit k registračnímu serveru firmy Kerio Technologies. 14

15 4.2 Registrace produktu v administračním rozhraní Bezprostředně po instalaci lze produkt zaregistrovat jako zkušební nebo jako plnou verzi. Proč registrovat zkušební verzi produktu Zkušební verze produktu slouží k seznámení se s konfigurací a funkčností produktu. Pokud se rozhodnete zkušební verzi zaregistrovat, budete mít nárok na plnou technickou podporu společnosti Kerio Technologies po celou dobu její platnosti (30 dní). Obrázek 4.1 Registrace produktu Zkušební verzi produktu lze zaregistrovat na hlavní stránce produktu odkazem Stát se registrovaným uživatelem zkušební verze (viz obrázek 4.1). Do otevřeného dialogového okna vyplňte: 1. Otevře se dialog Registrace zkušební verze, kde doplníte bezpečnostní kód z obrázku (CAPTCHA) do nabízeného políčka. 2. V dalším kroku doplníte údaje o vaší společnosti a zaškrtnete souhlas se zásadami ochrany soukromí. 3. V dalším kroku vyberte, kolik počítačů se nachází ve vaší společnosti, a kde jste se dozvěděli o ústředně Kerio Operator. 4. V závěrečném okně zkontrolujte správnost zadaných údajů. Shledáte-li vše v pořádku, tlačítkem Dokončit registraci odešlete. Následně vám bude vygenerován speciální identifikační kód Trial ID, kterým bude se třeba identifikovat technické podpoře při zadávání dotazů. Trial ID se po úspěšné registraci zobrazí v Kerio Operator Administration v okně s informacemi o licenci. 15

16 Registrace produktu a licence Proběhla-li registrace úspěšně, bude vám na váš vyplněný v registračním průvodci doručeno potvrzení o registraci. Registrace plné verze produktu Registrace plné verze produktu se spouští kliknutím na odkaz Registrovat produkt se zakoupeným licenčním číslem na hlavní stránce (viz obrázek 4.1) administračního rozhraní: 1. V prvním kroku je třeba vyplnit licenční číslo získané při zakoupení produktu a z důvodu bezpečnosti opsat bezpečnostní kód (CAPTCHA) z obrázku (viz obrázek 4.2). Poznámka: Při zápisu se nerozlišují velká a malá písmena. Obrázek 4.2 Licenční číslo Po stisknutí tlačítka Další naváže Kerio Operator spojení s registračním serverem a zkontroluje platnost zadaného čísla. Je-li číslo neplatné, v registraci nelze pokračovat. 2. Druhý krok průvodce umožňuje zadat čísla add-on licencí a Software Maintenance. Pokud máte zakoupenu pouze základní licenci (typicky při první registraci produktu), pak tento krok přeskočte. 3. Ve třetím kroku jsou požadovány registrační informace o organizaci, na kterou je produkt registrován. 16

17 4.3 Informace o licenci a import licenčního klíče Poznámka: Červeně označené položky s hvězdičkou jsou povinné, tzn. musejí být vyplněny. Ostatní jsou volitelné. 4. Poslední krok průvodce registrací slouží ke kontrole údajů zadaných v předchozích krocích. Správce je informován o datu a čase vypršení Software Maintenance (tj. nároku na bezplatné aktualizace produktu). Kerio Operator naváže spojení s registračním serverem, ověří správnost zadaných údajů a automaticky stáhne licenční klíč (digitální certifikát). 5. Stisknutím tlačítka Dokončit se průvodce uzavře. 4.3 Informace o licenci a import licenčního klíče Informace o licenci se zobrazují na hlavní stránce Kerio Operatoru. Hlavní stránka ústředny se zobrazí vždy bezprostředně po spuštění Kerio Operator Administration. Kdykoliv později je možno ji zobrazit kliknutím na Kerio Operator v levém seznamu sekcí uspořádaném do stromové struktury. Obrázek 4.3 Zobrazení informací o licenci Plná verze ústředny musí obsahovat tzv. licenční klíč. Licenční klíč je speciální soubor, který je třeba do produktu importovat. Licenční klíč lze získat dvěma různými způsoby (záleží na typu registrace a na tom, zda registraci provedete včas: Import licenčního klíče se provede automaticky během registrace produktu v administračním rozhraní (kapitola 4.2). Import pomocí odkazu na hlavní stránce kliknutím na odkaz Nainstalovat licenci (viz obrázek 4.1). Zobrazí se standardní dialog otevření souboru pro načtení licenčního klíče. Je-li import úspěšný, zobrazí se na hlavní stránce informace o nové licenci. 17

18 Registrace produktu a licence Ruční zkopírování souboru do adresáře license soubor license.key lze ručně zkopírovat do podadresáře license v adresáři, kde je Kerio Operator nainstalován. ID licence Licenční číslo produktu. Datum vypršení Software Maintenance Datum ukončení nároku na bezplatný upgrade. Datum skončení funkčnosti produktu Datum ukončení funkčnosti produktu (pouze u demoverze nebo speciálních licencí). Počet uživatelů povolených licencí Počet uživatelů, který povoluje licence. V závorce je uveden počet všech linek/uživatelů využívajících Kerio Operator. Patří sem jak linky/uživatelé založení lokálně, tak mapované z adresářové služby. Je-li počet aktivních uživatelů vyšší než počet povolených uživatelských licencí, řádek Počet uživatelů povolený licencí se zabarví červenou barvou. Společnost Název společnosti (příp. osoby), na niž je produkt registrován. Server DNS jméno serveru, kde je ústředna provozována. Operační systém Operační systém, na kterém je produkt nainstalován a spuštěn. Objeví-li se při spuštění konzole v informačním okně odkaz K dispozici je nová verze programu..., klikněte na odkaz a stáhněte novou verzi. 4.4 Licenční politika Počet uživatelů znamená počet linek/uživatelů vytvořených v ústředně Kerio Operatoru. Pokud jsou uživatelé mapováni z LDAP databáze adresářové služby, počítají se jako linky všichni uživatelé založení v této databázi. Software Maintenance Systém Software Maintenance a add-on licencí je podrobně popsán na produktových stránkách společnosti Kerio Technologies 18

19 Kapitola 5 Bezpečný provoz ústředny Provoz ústředny Kerio Operator je třeba dobře zabezpečit: Je třeba správně nastavit firewall a omezit komunikaci pouze na nezbytné množství IP adres a portů (server poskytovatele SIP služeb a podobně), zejména je-li ústředna provozována v Internetu. Je třeba omezit komunikaci na interním firewallu ústředny. Nastavení lze provést v Kerio Operator Administration v sekci Konfigurace Systém Firewall. Je třeba nastavit opravdu silná SIP hesla (nepoužívat slovníková hesla, měla by mít více než osm znaků a heslo by se mělo skládat alespoň ze tří typů znaků písmen, číslic a speciálních znaků). Je třeba nastavit omezení na množství pokusů o zadání SIP hesel. Je doporučeno zakázat speciálními pravidly mezinárodní hovory do zemí, se kterými vůbec nekomunikujete nebo zakázat mezinárodní hovory zaměstnancům, u kterých se nepředpokládá komunikace se zahraničím. Nastavení lze provést v Kerio Operator Administration v sekci Konfigurace Definice Skupiny oprávnění k volání. Do zemí, kam voláte zřídka je doporučeno nastavit omezení odchozích hovorů v sekci Konfigurace Další volby Zabezpečení. V následujících sekcích si tato nastavení probereme podrobněji: 5.1 Nastavení firewallu umístěného v lokální síti Kerio Operator je obvykle nainstalován v lokální síti chráněné firewallem. Kromě vlastní konfigurace ústředny tedy musíme provést doplňující nastavení firewallu. Má-li být ústředna přístupná z Internetu, je třeba ve firewallu otevřít (tzv. mapovat) některé porty. Každý mapovaný port znamená potenciální problém se zabezpečením. Namapujeme tedy porty jen pro služby, které chcete zpřístupnit z Internetu. 19

20 Bezpečný provoz ústředny Služba (standardní port) Odchozí spojení Příchozí spojení SIP (5060) povolit povolit pro SIP servery poskytovatele IMAP (143) povolit, pokud jste nastavili integraci se serverem Kerio Connect, a pokud je mezi Kerio Connect a Kerio Operator umístěn firewall. zakázat LDAP (389) povolit zakázat LDAPS (636) povolit povolit, pokud využíváte mapování Active Directory nebo Open Directory a je-li mezi adresářovou službou a Kerio Operator umístěn firewall. HTTP (80) povolit zakázat HTTPS (443) povolit povolit chcete-li, aby se uživatelé mohli ke Kerio MyPhone a Kerio Operator Administration přihlásit z Internetu. Tabulka 5.1 Služby, které je třeba povolit na firewallu 5.2 Nastavení integrovaného firewallu Kerio Operator umožňuje omezení využívání služeb ústředny pro určité sítě nebo jejich úplný zákaz. Tato nastavení lze provést v sekci Konfigurace Systém v záložce Firewall. Před nastavením této záložky je třeba si rozmyslet, jakým počítačům nebo subsítím povolíte přístup ke službám. Potom je třeba nastavit správné skupiny IP adres. Jak se skupiny IP adres nastavují najdete v sekci 27. WWW server Chcete-li omezit možná připojení ke Kerio Operator Administration a Kerio MyPhone, zaškrtněte tuto položku a zvolte skupinu IP adres, ze které zůstane přístup povolen. Dbejte na to, aby se všichni uživatelé ústředny mohli alespoň ze své pracovní stanice připojit ke Kerio MyPhone. SIP Z bezpečnostních důvodů doporučujeme omezení protokolu SIP pouze na vaší vnitřní sít a vnější IP adresy poskytovatele SIP. 20

21 5.3 Nastavení ochrany proti hádání hesel Automatická konfigurace telefonů Z bezpečnostních důvodů doporučujeme povolit automatickou konfiguraci telefonů pouze pro vaši vnitřní sít, protože TFTP posílá konfigurační data ve formě prostého textu. Poznámka: Jsou-li volby odškrtnuty, není nastaveno žádné omezení. 5.3 Nastavení ochrany proti hádání hesel Jedním z častých typů útoků na telefonní ústředny je hádání přihlašovacích údajů. V tomto případě jde o hádání telefonních linek a SIP hesel, která je chrání. Průvodním jevem tohoto typu útoku je vždy velké množství pokusů o zadání linky a SIP hesla při přihlášení telefonu k ústředně. Bezpečnostní nastavení ústředny Kerio Operator umožňují omezení počtu pokusů o přihlášení telefonu (hardwarového i softwarového) k ústředně. Nastavení proved te následovně: 1. V administračním rozhraní se přepněte do sekce Konfigurace Další volby Zabezpečení. 2. Nastavte počet neúspěšných přihlášení, který vám vyhovuje (obvyklé je 3 až deset pokusů) a nastavte také dobu, během které se má počet neúspěšných pokusů počítat. Nastavení časového intervalu chrání skutečné uživatele, kteří heslo zapomněli nebo se několikrát za sebou spletli při jeho zadávání. Po uplynutí nastaveného časového intervalu se mohou pokusit připojit k ústředně znovu. 3. Nyní je třeba nastavit akci, která se stane po splnění podmínek ochrany proti hádání hesel. Ústředna zablokuje zdrojovou IP adresu na dobu nastavenou v příslušném políčku. Můžete si vybrat, zda se má nastavená doba počítat v minutách, hodinách nebo dnech. 4. Nakonec si můžete nastavit zasílání upozornění o blokaci IP adres na váš . Jak poznáte, že došlo k pokusu o útok V záznamu Security hledejte řetězec Authentication failed. Objevují-li se tyto záznamy nápadně často, dochází k pokusům o útok pomocí slovníkové metody. 5.4 Zákaz odchozích hovorů uživatelů podle předvoleb Přesto, že se věnujete důkladnému zabezpečení vaší ústředny, pořád existuje jistá velmi malá možnost, že útočník vaši ochranu prolomí a získá číslo vaší vnitřní linky a SIP heslo k ní přiřazené. To se může stát například tak, že útočník telefonicky nebo em kontaktuje některého z uživatelů a vyláká z něho jeho uživatelská jména a hesla, která používá. Dále může jít o viry, které se nainstalují do počítačů uživatelů a odesílají útočníkovi jména a hesla, která uživatel používá. Útočník si po získání uživatelského jména a hesla založí telefonní službu s vysokým tarifem (obvykle je to v zahraničí, v některé ze zemí, kde tato podvodná činnost není ošetřena 21

22 Bezpečný provoz ústředny zákonem) a z vaší ústředny pak volá na tuto službu. Takto vás může připravit o značnou sumu peněz. Pokud se už stane ta nepříjemnost, že se útočník dostal ke jménu a heslu některého z uživatelů, je dobré mít nějak ošetřené volání do vnější sítě. Vhodné je zakázat hovory do zemí, kam uživatelé nikdy nevolají. A protože obvykle ve společnostech pracují zaměstnanci s různou potřebou volání, lze vytvořit skupiny oprávnění pro volání do vnější telefonní sítě a uživatele do nich rozdělit podle jejich potřeb. Každou skupinu omezení lze vytvořit jednoduše bud pomocí systému vše kromě zakázaného je povoleno nebo naopak vše kromě povoleného je zakázáno. Můžete dokonce vytvořit skupinu uživatelů, kteří mohou volat pouze v rámci vaší vnitřní telefonní sítě (na linky ostatních uživatelů Kerio Operatoru). Spravovat skupiny pro omezení volání lze v sekci Definice Skupiny oprávnění k volání : 1. Stiskněte tlačítko Přidat. 2. V dialogu Přidat skupinu oprávnění pro volání zadejte jméno skupiny a její popis. 3. Klikněte na tlačítko Přidat. 4. Přidejte bud konkrétní číslo nebo předčíslí a zvolte, zda má být toho číslo povoleno nebo zakázáno. 5. Celé nastavení uložte tlačítkem OK nebo opakujte bod 3 a 4 pro přidání dalšího čísla. Po přidání všech pravidel je potřeba je seřadit. Pokud například umístíte nejvýše pravidlo pro povolení volání na číslo , a poté zakážete předvolbu 900, bude se uživatel moci na číslo dovolat. Pokud ovšem pořadí pravidel obrátíte, aplikuje se nejprve zákaz na předvolbu 900 a žádné níže umístěné pravidlo se již nebude aplikovat. Ke správnému umístění pravidel slouží v dialogu Přidat skupinu oprávnění pro volání tlačítka Nahoru a Dolů. Po vytvoření jedné nebo více skupin oprávnění je třeba tato oprávnění přiřadit k jednotlivým uživatelům (viz sekce 8.4). Upozornění: Chcete-li omezit nebo povolit odchozí hovory do vnější sítě, je třeba při definici pravidla zadat před číslo i vámi definované předčíslí pro volání do vnější sítě (viz kapitola 6.1). Pro lepší pochopení vytváření pravidel slouží následující scénáře, kde předčíslí pro volání do vnější sítě je 0: 22

23 5.4 Zákaz odchozích hovorů uživatelů podle předvoleb Příklad zákaz mezinárodních hovorů Mějme společnost se sídlem v USA. Chceme, aby skupina zaměstnanců směla volat do vnější sítě, avšak nedovolali se do jiných států kromě Mexika: součástí řetězce musí být předvolba pro volání z ústředny do vnější sítě (v našem případě je to 9) je třeba zakázat všechny mezinárodní předvolby kromě 001 (mezinárodní předvolba do zemí severní ameriky včetně amerických území v Oceánii a Karibik) je třeba povolit předvolbu pro Mexiko 0052 (i s předvolbou pro volání do vnější sítě je to 90052) Nastavení provedeme takto: 1. V sekci Konfigurace Definice Skupiny oprávnění k volání klikněte na tlačítko Přidat. 2. Zadejte název skupiny (například Mezistátní hovory zakázány) a její popis. 3. V dialogu Přidat skupinu oprávnění pro volání klikněte na tlačítko Přidat a doplňte předvolbu pro Afriku 002 a přidejte před ní předvolbu pro volání do vnějších sítí 9. Výsledek bude tedy Pravidlo přepněte do stavu Zakázáno. 5. Stejným způsobem vytvořte pravidla pro ostatní mezinárodní směrová čísla. 6. Protože chceme, aby bylo možné dovolat se do státu Mexiko, přidáme další pravidlo. Pravidlo povolí volání na směrové číslo Přesuňte toto pravidlo pomocí šipek v seznamu pravidel výše, než je umístěno obecnější pravidlo pro zákaz volání do zemí s předvolbou 005, protože pravidla jsou vyhodnocována ve stanoveném pořadí. 7. Výsledné nastavení by mělo vypadat podobně jako na obrázku

24 Bezpečný provoz ústředny Obrázek 5.1 Nastavení skupiny oprávnění pro volání 5.5 Omezení pro odchozí hovory Kromě úplného zákazu hovorů do určitých zemí (viz sekce 5.4) lze odchozí hovory také omezit. Lze omezit například jejich délku a jejich počet. Tato omezení je vhodné uplatnit tam, kde nelze hovory do dané země explicitně zakázat, ale je třeba se vůči nim alespoň nějak chránit. Omezení odchozích hovorů lze aplikovat na: Volání do všech zemí, se kterými nemáte obchodní styky (tento problém vyřešíte jednodušeji pomocí Skupin oprávnění k volání viz sekce 5.4). Příliš dlouhé hovory regulérní hovory obvykle netrvají dlouhé hodiny. Příliš mnoho současně navázaných hovorů. První, nejjednodušší možností, je omezení maximální doby trvání každého hovoru. Tuto maximální dobu volání lze nastavit v administračním rozhraní takto: 1. Přepněte se do sekce Konfigurace Další volby Zabezpečení. 2. Nastavte podle vlastních potřeb Maximální doba trvání každého odchozího hovoru. 24

25 5.5 Omezení pro odchozí hovory Další možností, jak ochránit vaší ústřednu je nastavení speciálních pravidel pro omezení odchozích hovorů v sekci Konfigurace Další volby Zabezpečení v tabulce Omezení odchozích hovorů: Tabulka obsahuje jedno pravidlo, které říká, že veškeré odchozí hovory ústředny jsou omezeny na 50 hovorů za jednu hodinu a zároveň lze celkově provolat dvě hodiny během 24 hodin. Nyní vytvořme další pravidlo, na kterém si ukážeme, jak tato omezení fungují: Pravidlo vytvoříme pro výrobní společnost, která prodává a udržuje kontakty zejména v USA a EU. To znamená, že nemůžeme příliš omezovat předvolby pro USA a Evropu, ale volání do ostatních zemí omezit mohu. Předvolba pro volání do vnější telefonní sítě je 9 (nastavuje se v sekci Konfigurace Směrování hovorů). Vytvoříme tedy následující pravidlo: 1. Přepneme se do sekce Konfigurace Další volby Zabezpečení a do tabulky Omezení odchozích hovorů přidáme další položku. 2. Otevře se dialog Přidat omezení odchozích hovorů. 3. Zadáme jméno pravidla (například Omezení pro všechny země kromě USA a EU). 4. V sekci Aplikovat na tyto odchozí hovory vybereme Všechny kromě uvedených a stiskneme tlačítko Přidat. 5. Otevře se dialog Přidat předčíslí odchozích hovorů, kde najdete pěkný příklad pro použití předvoleb. Seznam všech mezinárodních předvoleb najdete například ve Wikipedii. Před každou z předvoleb je třeba připojit předčíslí pro volání do vnější telefonní sítě. V našem případě je to předvolba 9. V našem případě do dialogu zadáme předvolbu 9001 (001 pro Severní Ameriku), 9003 a 9004 (003 a 004 pro Evropu). 6. Nyní je třeba nastavit omezení. Maximální počet hovorů omezíme na 10 za hodinu a Maximální celkovou dobu trvání omezíme na 1 hodinu za den. 7. Jako poslední nastavení je třeba zaškrtnout akce, které se provedou po splnění pravidla. Bud si můžete nastavit posílání výstražného u nebo můžete nastavit blokaci všech odchozích hovorů (to znamená, že se z ústředny nikdo nedovolá do vnější telefonní sítě). Nejlepší využití těchto pravidel je následující. Vytvořte si jedno mírnější pravidlo s nižšími limity spojené pouze s oznámením em a jedno tvrdší pravidlo s vyššími limity spojené s blokací ústředny. 25

26 Bezpečný provoz ústředny Upozornění: Naplní-li se pravidlo a jsou blokována veškerá odchozí spojení, nikdo se z ústředny nedovolá nikam do vnější telefonní sítě. Celou ústřednu je poté třeba odblokovat v sekci Konfigurace Další volby Zabezpečení. Proto doporučujeme provedení důkladné analýzy hovorů, aby se ústředna neblokovala při normálním nezávadném provozu. Kromě nastavení bezpečnostních pravidel, která je třeba nastavit kvůli případným útočníkům, lze nastavit podobná pravidla pro konkrétní uživatele nebo skupiny uživatelů. Toto nastavení poskytuje sekce Skupiny oprávnění k volání a více o těchto pravidlech orientovaných na uživatele se dozvíte více v samostatné kapitole Upozornění: Seznamte s nastaveným omezením uživatele ústředny, případně nastavení konzultujte s vedením vaší společnosti. Jak se útoku bránit Pokud k útoku již došlo, proved te ihned následující kroky: 1. Zjistěte v sekci Stav Hovory a v záznamech, který uživatelský účet byl zneužit. 2. Okamžitě změňte SIP heslo postiženého účtu. 3. Poučte uživatele, jak mají nakládat se svými přihlašovacími údaji a o bezpečném chování v Internetu. 4. Jsou-li nastavena pravidla pro odchozí hovory, je pravděpodobné, že je ústředna blokována a je potřeba ji opět odblokovat a zprovoznit. 26

27 Kapitola 6 Správa rozhraní SIP Aby mohl Kerio Operator komunikovat s dalšími SIP servery, je třeba za tímto účelem nastavit rozhraní pro připojení. Rozhraní je třeba nastavit pro příchozí i odchozí hovory. V administračním rozhraní aplikace Kerio Operator najdete nastavení těchto rozhraní v záložce Konfigurace Směrování hovorů. Při nastavování rozhraní pro příchozí hovory se hned založí i cesta pro odchozí hovory. Ještě než začnete komunikovat s poskytovatelem VoIP služeb, je třeba si uvědomit, co od vaší telefonní sítě chcete, jak rozsáhlá a jak spolehlivá by měla být. 6.1 Rozhraní pro poskytovatele SIP služeb Pokud jste získali číslo nebo rozsah telefonních čísel od svého poskytovatele SIP, můžete nastavit rozhraní pro volání tak, aby bylo možné telefonovat z vaší vnitřní sítě přes poskytovatele do Internetu. Než začnete rozhraní nastavovat, je třeba mít k dispozici následující: telefonní číslo nebo čísla od SIP poskytovatele, IP adresu nebo DNS jméno SIP serveru a port (obvykle 5060 pro TCP i UDP) na kterém komunikuje (tyto údaje vám sdělí váš poskytovatel), založenou alespoň jednu interní linku uživatele (nejlépe operátora, který má v popisu práce přepojovat hovory) v Kerio Operatoru (viz sekce 9.1), Uživatelské jméno a heslo pro ověření na SIP serveru poskytovatele (tyto údaje vám sdělí váš poskytovatel). Pokud máte výše uvedené údaje k dispozici, můžete přistoupit k nastavení rozhraní a připojit se k SIP serveru poskytovatele: 1. V administračním rozhraní otevřete sekci Konfigurace Směrování hovorů a klikněte na tlačítko Přidat rozhraní SIP. Otevře se konfigurační průvodce. 2. Zadejte název rozhraní, který bude dostatečně popisný (může například obsahovat jméno poskytovatele). Název nesmí obsahovat mezery, národní a speciální znaky a musí být jednoznačný. 3. Vyberte položku Nový poskytovatel. Dále záleží na tom, zda jste od poskytovatele získali jedno číslo, více různých čísel nebo celý rozsah čísel: 27

28 Správa rozhraní SIP Jedno číslo 1. Pokud jste získali od poskytovatele pouze jedno telefonní číslo, zadejte jej do pole Nový poskytovatel S externím číslem ve tvaru, který vám sdělí poskytovatel a klikněte na tlačítko Další. 2. Zvolte linku operátora, který bude všechny hovory z vnější sítě uskutečněné na číslo přidělené poskytovatelem přepojovat na všechny ostatní vnitřní linky založené v Kerio Operatoru. 3. Do položky Předčíslí pro volání do vnější sítě zadejte prefix, přes který se vnitřní uživatelé dovolají na externí telefonní čísla. Prefix slouží Kerio Operatoru k tomu, aby mohl hovor přesměrovat na SIP server poskytovatele. 4. Klikněte na tlačítko Další. 5. Do dialogu zadejte údaje, které máte k dispozici od poskytovatele (DNS jméno a port SIP serveru a uživatelské jméno a heslo pro ověření). 6. Volbu Vyžadována registrace u registrátora zaškrtněte, registraci při prvním připojení k SIP serveru většina poskytovatelů vyžaduje. 7. Liší-li se identifikátor uživatele od telefonního čísla, zadejte ho do pole ID uživatele. 8. Volbu Odeslat v SIP registraci tuto externí IP adresu zapněte pouze v případě, že je váš Kerio Operator umístěn za firewallem, který neumí přepsat vnitřní adresu Kerio Operatoru na vnější adresu. V takovém případě je třeba do pole zadat veřejnou IP adresu vašeho firewallu. Více různých čísel 1. Pokud jste získali od poskytovatele více různých telefonních čísel, zadejte je oddělená čárkou do pole Nový poskytovatel S externím číslem ve tvaru, který vám sdělí poskytovatel a klikněte na tlačítko Další. 2. Zvolte linku operátora, který bude všechny hovory z vnější sítě uskutečněné na čísla přidělená poskytovatelem přepojovat na všechny ostatní vnitřní linky založené v ústředně Kerio Operator. 3. Do položky Předčíslí pro volání do vnější sítě zadejte prefix, přes který se vnitřní uživatelé dovolají na externí telefonní čísla. Prefix slouží ústředně k tomu, aby mohl hovor přesměrovat na SIP server poskytovatele. 4. Klikněte na tlačítko Další. 5. Do dialogu zadejte údaje, které máte k dispozici od poskytovatele (DNS jméno a port SIP serveru a uživatelské jméno a heslo pro ověření). 28

29 6.1 Rozhraní pro poskytovatele SIP služeb 6. Volbu Vyžadována registrace u registrátora zaškrtněte, registraci při prvním připojení k SIP serveru většina poskytovatelů vyžaduje. 7. Liší-li se identifikační číslo uživatele od telefonního čísla, zadejte ho do pole ID uživatele. 8. Volbu Odeslat v SIP registraci tuto externí IP adresu zapněte pouze v případě, že je váš Kerio Operator umístěn za firewallem, který neumí přepsat vnitřní adresu ústředny Kerio Operator na vnější adresu. V takovém případě je třeba do pole zadat veřejnou IP adresu vašeho firewallu. 9. Nastavení uložte. 10. Poklikejte v sekci Směrování hovorů Rozhraní a směrování příchozích hovorů na některý z řádků, kde se zobrazuje mapování na linku spojovatelky (viz obrázek 6.1). Obrázek 6.1 Mapování samostatných čísel na vnitřní linky ústředny 11. Otevře se dialog Upravit příchozí hovor (viz obrázek 6.2), kde poklikáním na příslušný řádek ve sloupci Linka nastavíte mapování vnějších čísel na vnitřní linky. 29

30 Správa rozhraní SIP Obrázek 6.2 Mapování samostatných čísel na vnitřní linky ústředny Číselný rozsah 1. Pokud jste získali od poskytovatele celý číselný rozsah, uved te jej ve tvaru, který vám sdělí poskytovatel. Tvar čísla zadejte tak, že na místě číslic, které se budou měnit, umístíte písmeno X. 2. Klikněte na tlačítko Další. 3. Zvolte linku operátora, který bude všechny hovory z vnější sítě uskutečněné na čísla přidělená poskytovatelem ručně přepojovat na vnitřní linky založené v ústředně Kerio Operator, není-li nastaveno mapování čísel. 4. Do položky Předčíslí pro volání do vnější sítě zadejte prefix, přes který se vnitřní uživatelé dovolají na externí telefonní čísla. Prefix slouží ústředně k tomu, aby mohl hovor přesměrovat na SIP server poskytovatele. 5. Klikněte na tlačítko Další. 6. Do dialogu zadejte údaje, které máte k dispozici od poskytovatele (DNS jméno a port SIP serveru a uživatelské jméno a heslo pro ověření). 7. Volbu Vyžadována registrace u registrátora zaškrtněte pouze tehdy, pokud ji poskytovatel vyžaduje. U větších rozsahů čísel (takzvaných trunků ) poskytovatelé registraci obvykle nevyžadují. Registrace je nahrazena IP adresou, na které Kerio Operator komunikuje. Adresa musí být samozřejmě fixní a její změnu je třeba poskytovateli hlásit. 30

31 6.2 Rozhraní pro libovolný druhý SIP server 8. Liší-li se identifikační číslo uživatele od telefonního čísla, zadejte ho do pole ID uživatele. 9. Volbu Odeslat v SIP registraci tuto externí IP adresu zapněte pouze v případě, že je váš Kerio Operator umístěn za firewallem, který neumí přepsat vnitřní adresu Kerio Operatoru na vnější adresu. V takovém případě je třeba do pole zadat veřejnou IP adresu vašeho firewallu. 10. Nastavení uložte tlačítkem OK. 11. Dále je třeba nastavit přepisovací pravidla pro správné mapování vnějších čísel na vnitřní linky uživatelů. Tento postup podrobně popisuje sekce Rozhraní pro libovolný druhý SIP server Chcete-li vytvořit rozhraní pro komunikaci s druhým SIP serverem, postupujte při jeho vytváření takto: 1. V administračním rozhraní otevřete sekci Konfigurace Směrování hovorů a klikněte na tlačítko Přidat rozhraní SIP. Otevře se konfigurační průvodce. 2. Zadejte název rozhraní, který bude dostatečně popisný (může například obsahovat název serveru). Název nesmí obsahovat mezery, národní a speciální znaky a musí být jednoznačný. 3. Vyberte položku Spojení s jinou ústřednou a klikněte na tlačítko Další. 4. V dialogu je třeba doplnit prefix pro odchozí volání. Prefix slouží ústředně k tomu, aby rozeznala, na které rozhraní má hovor přesměrovat. Pokud například nastavíte 3 (druhý server využívá linky v rozsahu 3XX), pak všechna čísla s prefixem 3 budou směřována na tento SIP server. 5. Klikněte na tlačítko Další. 6. Do položek Jméno počítače nebo IP adresa a Port doplňte DNS jméno nebo adresu druhého SIP serveru a port, na kterém komunikuje. 7. Pokud server vyžaduje ověření, doplňte do položek Uživatelské jméno a Heslo platné ověřovací údaje. 8. Vyžaduje-li SIP server registraci, zaškrtněte položku Vyžadována registrace u registrátora. 9. Liší-li se identifikační číslo uživatele od telefonního čísla, zadejte ho do pole ID uživatele. 10. Pokud je první SIP server umístěn za firewallem, zaškrtněte tuto položku a do pole IP adresa doplňte veřejnou adresu firewallu. 31

32 Správa rozhraní SIP 11. Nastavení uložte tlačítkem OK. 12. Dále je třeba nastavit přepisovací pravidla pro správné mapování vnějších čísel na vnitřní linky uživatelů. Tento postup podrobně popisuje sekce Přepisovací pravidla Přepisovací pravidla zajišt ují správné mapování vnitřních a vnějších čísel v ústředně. Obecně přepisovací pravidlo umožňuje odebrat z čísla 0 až N číslic zleva (v mezním případě je číslo zredukováno na prázdný řetězec), a poté volitelně opět zleva přidat jiné číslice. Výsledkem je možnost upravit podle potřeby levou část čísla: zkrátit jej nebo prodloužit a současně změnit číslice na jeho začátku. Příkladem může být schéma 6.3. Obrázek 6.3 Přepisovací pravidlo pro číslo Prakticky si nutnost a někdy i výhodnost přepisu čísel osvětlíme na následujícím příkladu (viz schéma 6.4): 1. Od poskytovatele jste dostali přiděleno 1000 telefonních linek (800225XXX, čili ), a tudíž potřebujete čísla mapovat 1:1 z vnějších telefonních čísel XXX na vnitřní linky XXX. 2. K číslu volajícího potřebujete přidat prefix pro směrování odchozích hovorů (v našem příkladu to bude číslice 0), aby se číslo volanému uložilo do telefonu v takovém tvaru, který bude použitelný pro zpětné volání. Obrázek 6.4 Příchozí a zpětný hovor (při čtení postupujte zprava od 1) 32

33 6.3 Přepisovací pravidla Nyní je třeba upravit přepisovací pravidlo pro příchozí hovory na daném rozhraní (na obrázku 6.5 je to poskytovatel1): 1. V administrační konzoli v sekci Směrování hovorů poklikejte na směrovací pravidlo rozhraní pro poskytovatele SIP služeb, pro které budete směrovací pravidla nastavovat (viz obrázek 6.5). Obrázek 6.5 Pravidlo pro rozhraní poskytovatel1 2. Otevře se dialog Upravit příchozí hovor (viz obrázek 6.6), kde je třeba změnit volané číslo tak, aby zůstala pouze linka. Proto ořízneme 6 číslic zleva (u čísla z příkladu to bude a zůstane pouze linka 111). K lince není třeba přidávat žádný prefix. Obrázek 6.6 Pravidlo pro rozhraní poskytovatel1 33