Ouvrir la sécurité de l’installation
La page Sécurité PBX protège l’ensemble de l’installation et de ses clients. Elle est réservée au rôle d’administrateur global avec le droit de lecture système. L’écriture système est nécessaire pour changer les réglages. L’ancienne entrée de sécurité mène à cette page.
Les onglets sont Vue d’ensemble, Accès et bannissements, Pare-feu, Accès par pays, Protection SIP, Anti-fraude, Supervision SNMP et Journal. Si vous quittez un onglet comportant des modifications, la garde de saisie vous demande de décider de leur sort : enregistrez ou abandonnez explicitement avant de poursuivre.
Lire la vue d’ensemble
Commencez par l’état de protection et les points à corriger. Relancer l’analyse demande un nouvel examen ; pendant Analyse en cours…, attendez le résultat. Les cartes ouvrent l’onglet concerné. Les liens vers les comptes, les clients ou les profils d’appel permettent de traiter le problème dans son écran d’origine.
Les corrections directes demandent une confirmation. Relisez la modification proposée, confirmez pour l’appliquer ou annulez pour conserver les réglages. Une analyse réussie n’est pas une preuve que tous les points ont été corrigés : relisez chaque état. Le lien Sauvegardes et services : état du système ouvre leur suivi.
Gérer les adresses et les bannissements
Bannies (auto) présente les blocages automatiques. Bloquées et Autorisées présentent les règles explicites. Recherchez une adresse et, dans les bannissements, filtrez le motif : trafic excessif, échecs d’authentification, outil de scan ou autre.
| Champ | À quoi ça sert | Valeurs possibles | Exemple |
|---|---|---|---|
| IP ou réseau (CIDR) | Désigner la source ; obligatoire | Adresse ou réseau valide | Adresse de votre bureau |
| Libellé | Reconnaître la règle | Texte | Bureau principal |
| Type | Classer une autorisation | Bureau, Opérateur SIP, Administration, Autre | Administration |
| Durée | Fixer un blocage | 1 heure, 24 heures, 7 jours, Permanent | 24 heures |
Dans Actions pour une adresse bannie, Débannir lève le bannissement, Bloquer définitivement prépare un blocage durable, Autoriser prépare une autorisation. Dans les listes explicites, Retirer enlève l’autorisation et Débloquer enlève le blocage.
Certaines actions demandent Confirmer cette action ? : votre propre adresse, un conflit avec une autorisation ou un réseau très large. Lisez la portée exacte. Retirer l’autorisation de votre session ou bloquer son adresse peut couper votre accès. Annulez si la cible n’est pas celle voulue.
Plus d’actions propose Importer un fichier CSV et Exporter en CSV pour les listes concernées. Après import, lisez le nombre accepté et les lignes ignorées : un import partiel n’est pas un import complet. Une source de bannissements illisible est signalée séparément ; elle ne signifie pas qu’aucune adresse n’est bannie.
Régler le pare-feu et confirmer l’accès
Le pare-feu décide qui peut joindre chaque service. Avant une restriction, vérifiez les sources légitimes dans Accès et bannissements.
- Lisez Services exposés, leurs ports et leur politique actuelle.
- Modifiez les accès proposés pour chaque service et l’activation du pare-feu.
- Vérifiez Votre adresse. Non autorisée ouvre les adresses à corriger.
- Cliquez sur Enregistrer. Annuler abandonne les modifications non appliquées.
- Dans la confirmation, vérifiez l’option Ajouter votre adresse aux adresses autorisées ; elle est proposée pour préserver l’accès de votre session.
- Si des connexions risquent d’être coupées, lisez la liste et la confirmation supplémentaire avant de continuer.
- Après application, cliquez sur Confirmer, je suis toujours connecté dans le délai du bandeau.
Le mécanisme de retour arrière attend cette confirmation pendant soixante secondes. Sans elle, les règles précédentes sont restaurées. Un message indique le retour arrière ; ne considérez pas les nouvelles règles comme conservées. Si l’application échoue, l’écran affiche le motif et l’état réel doit être relu.
Les Services locaux sont présentés séparément des accès exposés. Le lien de pays d’un service ouvre Accès par pays, mais une règle géographique n’agit que si les services l’utilisent et si le pare-feu est actif.
Contrôler le réseau
Contrôler le pare-feu lance un contrôle réseau. Pendant Contrôle en cours…, attendez son résultat. Dans Autres actions, Contrôle approfondi ouvre les tests détaillés ; Masquer le contrôle approfondi les replie.
Dans le contrôle approfondi, Lancer le contrôle crée une nouvelle mesure. Lisez chaque service, port, usage, caractère requis ou facultatif et résultat. Un avertissement sur l’assistance SIP du routeur peut proposer Copier les instructions. Copier le rapport copie le diagnostic ; Télécharger en PDF l’exporte. L’historique permet d’ouvrir un contrôle antérieur en cliquant sur sa date.
Un contrôle n’applique pas les règles du pare-feu. Une erreur de lecture se reprend avec Réessayer ; une copie ou un PDF en échec doit être relancé après lecture du message.
Limiter les accès par pays
Deux politiques sont séparées : Téléphonie et Interface d’administration.
| Champ | À quoi ça sert | Valeurs possibles | Exemple |
|---|---|---|---|
| Protection active | Activer la politique concernée | Interrupteur | Téléphonie active |
| Règle | Définir le sens du filtre | Autoriser uniquement ces pays ; Bloquer ces pays | Autoriser uniquement ces pays |
| Pays | Définir la sélection | Pays recherchés ou raccourcis Suisse, Suisse + pays limitrophes, UE/AELE | Pays de vos sites |
| Base de géolocalisation | Lire la fraîcheur de la source | À jour, ancienne, absente ou non mesurée | Date de dernière mise à jour |
Une liste d’autorisation doit contenir au moins un pays. Enregistrer examine l’impact ; si des appareils enregistrés ou connexions seraient bloqués, Bloquer ces appareils ? indique les comptes concernés. Confirmez uniquement après vérification ou annulez pour corriger la sélection. Suivez ensuite le bandeau de confirmation du pare-feu lorsqu’il apparaît.
Le texte sous la politique indique les services auxquels elle s’applique. Pare-feu ouvre leur réglage. La base de géolocalisation est attribuée à DB-IP ; son état et sa date doivent être contrôlés en cas de localisation inattendue.
Régler la protection SIP
SIP est le protocole de signalisation des appels. Protection SIP permet d’activer sa défense, de régler la détection et la durée des bannissements.
| Champ | À quoi ça sert | Valeurs possibles | Exemple |
|---|---|---|---|
| Protection active | Activer la détection | Interrupteur | Activée |
| Nombre de requêtes / Durée d’observation des requêtes | Détecter un trafic excessif depuis une adresse | 5 à 10 000 requêtes sur 1 à 60 secondes ; entiers | Valeurs recommandées du serveur |
| Nombre d’échecs / Durée d’observation des échecs | Détecter les tentatives répétées depuis une adresse | 2 à 100 échecs sur 1 à 1 440 minutes ; entiers | Valeurs recommandées |
| Bloquer les outils de scan | Reconnaître les outils de scan connus | Interrupteur et liste affichée | Activé |
| Durée initiale | Fixer la première durée | 1 à 1 440 minutes ; entier | Valeur recommandée |
| Doubler la durée à chaque récidive | Allonger les bannissements successifs | Interrupteur | Activé |
| Durée maximale | Plafonner le doublement | 1 à 720 heures ; affichée si le doublement est actif | Valeur recommandée |
| Alerte de récidive | Proposer un blocage permanent au-delà du seuil sur sept jours | 2 à 50 bannissements ; entier | Valeur recommandée |
Rétablir les valeurs recommandées recharge les valeurs proposées dans le brouillon. Cliquez ensuite sur Enregistrer pour les appliquer. Une saisie vide ou hors limites bloque l’enregistrement et désigne le champ. Si « La durée maximale doit être au moins égale à la durée initiale. » apparaît, augmentez le plafond ou réduisez la durée initiale en tenant compte des unités. L’état distingue les réglages enregistrés de leur application effective ; attendez que l’état appliqué soit confirmé.
Configurer l’anti-fraude sortant
L’anti-fraude refuse les appels dépassant les plafonds ou visant des destinations bloquées. Les appels d’urgence sont exclus de ces blocages.
| Champ | À quoi ça sert | Valeurs possibles | Exemple |
|---|---|---|---|
| Anti-fraude actif | Appliquer la politique | Interrupteur | Activé |
| Appels externes simultanés | Plafond par client | 1 à 100 000, ou vide sans limite | Plafond adapté au contrat |
| Appels internationaux simultanés | Plafond par client | Même plage, ou vide | Plafond validé pour l’équipe |
| Appels internationaux par heure | Plafond par utilisateur sur une heure glissante | Même plage, ou vide | Valeur adaptée à l’activité |
| Destinations à risque | Bloquer les catégories choisies | Numéros surtaxés, satellites/réseaux internationaux, destinations à haut risque | Catégories nécessaires |
Enregistrer applique le brouillon ; Annuler restaure les valeurs chargées. Dans les exceptions, recherchez le client et ouvrez sa modification. Un plafond vide reprend la règle globale ; zéro signifie sans plafond pour ce client ; les autres valeurs vont jusqu’à 100 000. Choisissez les catégories exceptionnellement autorisées et les Préfixes autorisés, séparés par des virgules, de 1 à 8 chiffres avec ou sans signe plus.
Appliquer prépare l’exception dans les réglages du panneau ; vérifiez ensuite les changements et enregistrez l’ensemble. Reprendre les réglages globaux retire les exceptions du client. Profils d’appel du client ouvre les restrictions propres à ce client, distinctes de la politique d’installation.
Brancher la supervision SNMP et Prometheus
SNMP fournit des mesures en lecture seule sur UDP 161. Choisissez la version et les sources autorisées, puis enregistrez.
| Champ | À quoi ça sert | Valeurs possibles | Exemple |
|---|---|---|---|
| Version | Choisir le protocole | SNMP v3 ou v2c | v3 |
| Utilisateur | Identité v3 | Nom configuré pour le superviseur | supervision |
| Authentification | Protéger la requête v3 | SHA-256 / AES ou SHA / AES | SHA-256 / AES |
| Mots de passe | Authentification et chiffrement v3 | Au moins 8 caractères ; vide conserve l’existant | Secrets de supervision |
| Communauté | Secret v2c | Valeur conservée si laissée vide | Secret prévu pour le collecteur |
| Adresses autorisées | Limiter les collecteurs | IPv4, IPv6, réseaux CIDR séparés par espaces, virgules ou lignes | Réseau de supervision |
| Contact / Emplacement | Identifier l’installation | Texte | Équipe réseau / Site principal |
La version v2c transmet communauté et données sans chiffrement. Valeurs exposées donne les correspondances OID, identifiants des mesures à utiliser dans votre collecteur. Une validation refusée indique « Vérifiez les adresses et les secrets (8 caractères minimum). ».
Le panneau Supervision — Prometheus / Grafana permet l’activation, la limitation des sources et la copie de l’adresse des métriques. Les Adresses autorisées (facultatif) sont enregistrées en quittant le champ lorsqu’elles sont valides. Générer un nouveau jeton remplace la clé ; Copier la conserve avant Fermer, qui la masque. Actualisez le collecteur après renouvellement. Les liens Documentation et de ressources ouvrent les aides proposées par l’installation.
Consulter le journal et vérifier les résultats
Dans Journal, choisissez type, période et adresse IP. Validez la recherche ; une adresse invalide doit être corrigée. Les pages parcourent les résultats. Exporter (CSV) exporte les événements selon les filtres et devient indisponible pendant l’export ou sans résultat.
Après un changement de protection, vérifiez l’état enregistré puis appliqué, les accès depuis votre session et les nouveaux événements. Pour une erreur de lecture, utilisez Réessayer sur le panneau concerné. Ne supprimez pas des règles au hasard pour faire disparaître une erreur : transmettez le message exact et la modification tentée à l’administrateur de l’installation.