SIP ALG Nedir?

SIP oturumlarını işlemek için SIP Application Layer Gateway (SIP ALG) kullanılmaktadır. ALG, SIP oturum yardımcısı olarak sistemin doğru şekilde haberleşmesini sağlar. SIP protokolünü anlayarak paketlerin içindeki IP ve port bilgilerini değiştirebilir ve cevap paketleri geldiğinde iletişimin devamı için bu bilgileri yeniden düzenleyebilir.

Fortigate cihazlarında SIP trafiği varsayılan olarak kontrol altındadır. Bir güvenlik kuralında özel bir VoIP profili tanımlıysa trafik bu profil üzerinden işlenir; herhangi bir VoIP profili yoksa Fortigate otomatik olarak varsayılan (default) VoIP profilini kullanır.

Eğer Fortigate üzerinde VoIP sisteminiz çalışmıyor veya çağrılarda sorun yaşıyorsanız, büyük ihtimalle session helper müdahale ediyordur. Bu durumu aşağıdaki komutlarla SIP session helper’ı devre dışı bırakarak çözebilirsiniz:

1. 1. config system settings
   2. et sip-helper disasble
   3. set sip-nat-trace disable
   4. end
   5. reboot

SIP ALG NELERİ KONTROL EDER VE NASIL ÇALIŞIR?

SIP ALG (Session Initiation Protocol – Application Layer Gateway), SIP trafiğinin güvenli ve doğru biçimde yönlendirilmesini sağlamak için uygulama katmanında çalışan bir mekanizmadır. Paket sisteme girdikten sonra Application Layer’da işlenir ve SIP/SDP mesajlarının içeriği detaylı şekilde analiz edilir. Aşağıdaki bileşenleri kontrol eder:

1. 1.   IP Routing ve Forwarding
   2.   IPsec VPN şifreleme/şifre çözme
   3.   Rate limiting (hız sınırlama) ve mesaj engelleme
   4.   Stateful SIP session tracking
   5.   SIP ve SDP header/syntax kontrolü
   6.   Network trafik gözetimi
   7.   NAT ve IP Topology Hiding
   8.   Logging ve debugging
   9.   Saldırı tespit ve önleme (IDS/IPS)
   10.   Fortinet ve enterprise imzaları
   11.   SIP session tanımlama (SIP decoder)
   12.   Security Policy entegrasyonu
   13.   Access Control
   14.   Yerleşik (D)DoS koruması
   15.   Anomali tespiti ve engelleme

FortiGate Üzerindeki VoIP Profilleri

FortiGate üzerinde iki temel VoIP Profili bulunur. Bu profiller SIP ALG davranışını belirler ve Firewall Policy üzerinde uygulanarak aktif hale gelir.

DEFAULT VOIP PROFILE

Varsayılan profil daha esnek çalışır ve çoğu SIP sistemiyle uyumludur

Özellikleri:

1. 1. Bilinmeyen veya güvenilir olmayan SIP isteklerini engeller.
   2. Gelen SIP trafiğini derinlemesine analiz eder.
   3. NAT Trace gerçekleştirir (IP adresi korumalı NAT).
   4. Contact Fixup yapar (Contact header üzerindeki IP/port uyumsuzluklarını düzeltir).
   5. IPS–RTP mekanizmasıyla SIP saldırılarına karşı koruma sağlar.

STRICT VOIP PROFILE

Strict profil daha katı bir doğrulama yapar ve RFC 3261 ile tamamen uyumlu olmayan SIP oturumlarını engeller.

Özellikleri:

1. 1.  SIP mesajları üzerinde deep message inspection yapar.
   2.  Header içeriklerini RFC uyumluluğuna göre kontrol eder.
   3.  Hatalı SIP veya SDP paketlerini otomatik olarak engeller.
   4.  Zararlı isteklerin algılanmasında daha güçlüdür.

S​IP TRAFİĞİNDE HIZ SINIRLAMASI NASIL YAPILIR?

Varsayılan Profiller üzerinde hız sınırlaması yapılamaz. Bu sebeple varsayılan profiler kopyalanarak veya yeni profiller oluşturularak hız sınırlama işlemi yapılır. SIP isteklerini saniyede 1000 mesaj olarak yapılandırmak için aşağıdaki komut çalıştırılır:

config voip profile

    clone default
to my_voip_pro

    edit
my_voip_pro

        config sip

            set
notify-rate 1000

            set
block-info enable

        end

SIP ALG LİSTEN PORTU NASIL DEĞİŞTİRİLİR?

SIP için varsayılan portlar:

 UDP/TCP → 5060

 TLS (SIP-SSL) → 5061

Farklı portlar kullanılıyorsa aşağıdaki komutla SIP ALG’nin dinlediği portlar değiştirilebilir:

config system settings

    set sip-tcp-port 5064

    set sip-udp-port 5065

    set sip-ssl-port 5066

end

VOIP PROFİLİNDE SIP ALG’Yİ DEVRE DIŞI BIRAKMA

Yalnızca SCCP kullanıyorsanız veya SIP ALG kullanmak istemiyorsanız profil içinde SIP’i kapatabilirsiniz:

config voip profile

    edit VoIP_Pro_2

        config sip

            set status disable

        end

end

SIP ALG’NİN GLOBAL SEVİYEDE TAMAMEN KAPATILMASI

VoIP profilinde kapatmak yeterli değildir. FortiGate, SIP helper/ALG motorunu ayrıca global seviyede çalıştırabilir.

Tamamen devre dışı bırakmak için:

config system settings

    set sip-helper disable

    set sip-nat-trace disable

    set default-voip-alg-mode kernel-helper-based

end

SIP ALG NE ZAMAN KAPATILMALIDIR?

Aşağıdaki durumlarda SIP ALG devre dışı bırakılmalıdır:

1. 1. Cloud PBX kullanılıyorsa
   2. Telefonlar NAT arkasındaysa ve ses tek yönlü geliyorsa (one-way audio)
   3. REGISTER düşüyorsa
   4. INVITE gecikmeleri yaşanıyorsa
   5. Aynı ağda çoklu IP telefonlarda IP karışıklığı oluyorsa.