現(xiàn)在流行的IP網(wǎng)絡(luò)模型將網(wǎng)絡(luò)通信進(jìn)程分成了不同層面——這樣讓人更易于理解，部署和調(diào)試。不管是國際標(biāo)準(zhǔn)組織制定的7層模型，或是美國國防部開發(fā)的4層模型，都能讓人更好地理解每一層面上運(yùn)作的協(xié)議，對(duì)所有IP加密來說也都是必要的(包括VoIP)。

當(dāng)然，在所有安全措施當(dāng)中，多層次方法的效果最好。例如，你可能會(huì)為保護(hù)自己的家庭財(cái)產(chǎn)免遭盜賊毒手而實(shí)施一個(gè)多層次方法：在房子周圍豎起籬笆，并鎖上了籬笆的大門;在院子里養(yǎng)一條大狗;又在門上和窗戶上安裝防盜鎖;然后又安裝了一套防盜報(bào)警系統(tǒng);最后還把家里值錢的東西放在一個(gè)很隱秘的地方，以防萬一有人可以繞過你以上所有安全措施并偷走值錢東西。

同樣，要保護(hù)你的VoIP網(wǎng)絡(luò)，最好的方法也是采取一種多層次安全機(jī)制，在潛在入侵者的攻擊路線上盡可能多地制造各種障礙。

分離語音和數(shù)據(jù)網(wǎng)絡(luò)

要建立一個(gè)安全的VoIP網(wǎng)絡(luò)，首要的步驟就是將其從你的數(shù)據(jù)網(wǎng)絡(luò)中獨(dú)立出來。

雖然將所有網(wǎng)絡(luò)集成到一起，可能在管理的簡(jiǎn)易性及協(xié)同工作方面更加理想，但并不安全。最好的選擇是使用VLAN交換機(jī)將數(shù)據(jù)網(wǎng)絡(luò)和語音網(wǎng)絡(luò)從邏輯上分離開來——這意味著對(duì)數(shù)據(jù)網(wǎng)絡(luò)進(jìn)行的攻擊將不會(huì)影響到你的VoIP系統(tǒng)。

要將VoIP網(wǎng)絡(luò)從數(shù)據(jù)網(wǎng)絡(luò)中分離出來，首先要將分離VLAN上的VoIP話機(jī)設(shè)為非路由的地址;然后禁止連接互聯(lián)網(wǎng)的電腦與VoIP之間有任何交流;接下來還要使用存取控制列表(Access control lists)來阻止VLAN之間的通訊。

配備VoIP專用防火墻

對(duì)一個(gè)IP網(wǎng)絡(luò)來說，邊界保護(hù)通常意味著使用防火墻，但是一個(gè)老舊的防火墻是不適合VoIP網(wǎng)絡(luò)的。你需要一個(gè)特別設(shè)計(jì)的防火墻，它得能識(shí)別和分析VoIP協(xié)議，能對(duì)VoIP的數(shù)據(jù)包進(jìn)行深度檢查，并能分析VoIP的有效載荷以便發(fā)現(xiàn)任何與攻擊有關(guān)的蛛絲馬跡。

如果你的VoIP部署使用了SIP協(xié)議(Session Initiation Protocol)，那么防火墻就應(yīng)當(dāng)能執(zhí)行下述操作：監(jiān)控進(jìn)出的SIP信息，以便發(fā)現(xiàn)應(yīng)用程序?qū)哟紊系墓?支持TLS(傳輸層安全);執(zhí)行基于SIP的NAT以及介質(zhì)端口管理;檢測(cè)非正常的呼叫模式;記錄SIP信息的詳情，特別是未經(jīng)授權(quán)的呼叫。

保護(hù)好VoIP網(wǎng)關(guān)

網(wǎng)關(guān)是數(shù)據(jù)進(jìn)出VoIP網(wǎng)絡(luò)的關(guān)鍵點(diǎn)，它會(huì)同時(shí)連接不同的網(wǎng)絡(luò)，如IP網(wǎng)絡(luò)和公共電話交換網(wǎng)(PSTN)。你應(yīng)當(dāng)在網(wǎng)關(guān)上使用授權(quán)機(jī)制以及存取控制，以便控制可通過VoIP系統(tǒng)撥打和接聽電話，以及設(shè)定可以執(zhí)行管理任務(wù)的不同人員權(quán)限等等。

鎖閉網(wǎng)絡(luò)物理層

對(duì)一個(gè)語音網(wǎng)絡(luò)而言，限制對(duì)介質(zhì)訪問以及對(duì)VoIP服務(wù)器和端點(diǎn)訪問非常重要。