使用VoIP路由器的用戶都遇到過安全和漏洞問題，于是我研究了一下如何解決路由器安全漏洞和防護問題，在這里拿出來和大家分享一下，希望對大家有用。在這項技術研發伊始，開發者期望它作為傳統長途電話的一種廉價的替代方式，因此并未太多在意安全問題。

同時，VoIP路由器技術也是跟隨著整個網絡市場的發展而發展，太多不同廠家和產品的同時存在導致一時無法提出一個統一的技術標準；VoIP的基礎還是IP網絡，開放的體系構架不可避免受到了來自網絡的負面影響。最大限度地保障VoIP路由器的安全主要的方法有以下幾種：

1.將用于話音和數據傳輸的網絡進行隔離

這里所說的隔離并不是指物理上的隔離，而是建議將所有的IP話機放到一個獨立的VLAN當中，同時限制無關的PC終端進入該網段。通過很多評測者的反饋信息表明，劃分VLAN是目前保護IP話音系統最為簡單有效的方法，可以隔離病毒和簡單的攻擊。同時，配合數據網絡的QoS設定，還將有助于提高話音質量。

2.將VoIP作為一種應用程序來看待

這也意味著我們需要采用一些適用于保護重要的應用服務器之類的手段，來保護VoIP設備中一些重要的端口和應用，例如采用北電網絡Aleton交換防火墻就可以有效地抵御DoS的攻擊。同樣的辦法也適用于VoIP路由器系統，當兩個IP終端進行通話時，一旦信令通過中心點的信令服務進程建立之后，媒體流只存在于兩個終端之間；只有當IP終端上發起的呼叫需要透過網關進入PSTN公網時，才會占用媒體網關內的DSP處理器資源。所以，我們需要對信令和媒體流兩類對外的地址和端口進行保護。同時，盡可能少的保留所需要的端口，例如基于Web方式的管理地址，并且盡可能多的關閉不需要的服務進程。需要提醒的是H.323/SIP在穿越NAT和防火墻的時候會遇到障礙，這是由于協議本身的原因造成的，但通過啟用“應用層網關”(ApplicationLayerGa-teway簡稱ALG)之后，就可以解決這個問題；隨著呼叫量的增長，可以采用外置媒體流代理服務器(RTPMediaPortal)的辦法來支持更大規模的VoIP路由器系統。

3.選擇合適的產品和解決方案

目前不同廠家的產品體系構架不盡相同，操作平臺也各有偏愛。我們無法斷言哪種操作系統最為安全可靠，但廠家需要有相應的技術保障來讓用戶相信各自的產品有能力抵御日益繁多的病毒侵襲。同時，很多廠家的產品也采用了管理網段和用戶的IP話音網段在物理上隔離的機制，盡可能少的將端口暴露在外網上。北電網絡推出的Succession1000/1000M就采用了這些設計思路，將管理網段和用戶網段徹底在物理上隔離，并采用VxWorks操作系統，盡可能多的屏蔽外界對系統的影響。此外，VoIP的安全問題和數據網絡的安全本質上是緊密相關的，需要廠家提供的不僅僅是一套設備，更多的是如何幫助用戶在現有的網絡上提高安全和可靠性的思路和一些技巧。

4.話音數據流的加密

目前H.323協議簇中有一成員-H.235(又稱為H.Secure)是負責身份驗證、數據完整性和媒體流加密的。更實際的情況是廠家會選用各自私有的協議來保證VoIP路由器的安全性。但即使沒有H.235或其他的手段，想要偷聽一個IP電話呼叫仍要比偷聽一個普通電話要困難的多，因為你需要編解碼器算法和相應的軟件。即使你獲得了軟件并且成功連接到公司的IP話音網段，仍然有可能一無所獲。因為目前很多企業內部的數據網絡都采用以太網交換機的10/100M端口到桌面而不是HUB，因而無法通過Sniffer的方式竊取信息。

5.合理制定員工撥號權限

很多廠家已經將傳統交換機的豐富功能移植到了VoIP系統，這些功能將有效地抑制竊取登陸密碼進行盜打的現象。給IP電話設定能否撥打長途或特定號碼的權限，或者是通過授權碼的方式要求撥打長途號碼前必須輸入正確的若干位密碼等方式，可以簡單的解決上述問題。

IP網絡所存在的安全問題一直以來受到大家的關注。而作為數據網絡上的一種新興的應用，VoIP路由器所面臨的一些安全隱患，實際是IP網絡上存在的若干問題的延續。只有很好地解決了網絡的安全問題，同時配合產品本身的一些安全認證機制，基于VoIP的應用才能夠在企業中持久穩定的發揮作用，并成為解決企業話音通信需求的有效方法。