Tom's Hardware > Alle Testberichte > Weitere > Weitere... > Ist VoIP sicher? Sicherheitsrisiken begegnen

Praxistipps für die Auswahl VoIP-fähiger Firewalls

19:00 - Donnerstag, 28. April 2005 von Arno Kral

An dieser Stelle haben wir für Sie die Vor- und Nachteile der Methoden zusammengefasst, die am besten auf die Angriffsszenarien anzuwenden sind.

Unterstützt eine Vielzahl von VoIP-Protokollen
Interoperabilität mit vielen Herstellern

Lösung	Vorteile	Nachteile
Keine Firewall oder eine Firewall, die VoIP nicht erkennt	Keine Auswirkungen auf IP-Voice- und Videoanwendungen	Keinerlei Netzwerksicherheit Die Endpunkte benötigen eine öffentliche IP-Adresse und sind damit für jeden frei zugänglich
NAT-Weiterleitungslösungen, die die Firewall 'umgehen', beispielsweise STUN	Kein Upgrade/keine Änderung der Firewall erforderlich	Keine/eingeschränkte Netzwerksicherheit auf 'offenen' Ports VoIP-Geräte sind noch immer ungeschützt Funktioniert nicht mit symmetrischem NAT Funktioniert nur mit UDP und unterstützt weder H.323 noch SIP über TCP RTCP funktioniert möglicherweise nicht
Session Border Controllers	Kein Upgrade/keine Änderung der Firewall erforderlich	Kurzfristige Lösung, Vorrangig für Dienstanbieter entwickelt. Zusätzlicher Aufwand für die Verwaltung: Ggf. muss in jedem Netzwerk Client-Software installiert werden Gefahr von Engpässen oder Instabilitäten, da die VoIP-Clients den gesamten Verkehr (Signalisierung und Daten) über die Firewall leiten müssen
Vollständiger VoIP-Proxy	Kein Upgrade/keine Änderung der Firewall erforderlich	Proxy ist nach wie vor gefährdet Hinter jeder Firewall ist mindestens ein Proxy erforderlich, ggf. auch ein Proxy pro VoIP-Protokoll Aus Gründen der Hochverfügbarkeit ist ggf. jeder Proxy zu doppeln Zusätzliche Latenzzeit, die zu Engpässen und Instabilitäten führen kann
Stateful Packet Transformation in der Firewall, beispielsweise von SonicWALL	Schützt Signalisierung und Übertragungswege Vorhandene Appliances der aktuellen Generation können oft per Firmware nachgerüstet werden	Werden von Firewalls der vorherigen Generation nicht unterstützt