TLS (enkripcija signalizacije) i SRTP (enkripcija medija/glasa) na FreePBX-u

Da biste omogućili TLS (enkripcija signalizacije) i SRTP (enkripcija medija/glasa) na FreePBX-u, potrebno je da prođete kroz tri ključna koraka: podešavanje sertifikata, SIP parametara i samih lokala.

1. Globalna SIP konfiguracija i sertifikati

Pre nego što počnete, proverite da li imate instaliran SSL sertifikat (npr. Let’s Encrypt) u Certificate Manager-u.

• Izbor sertifikata: Idite na Settings > Asterisk SIP Settings > SIP Settings [chan_pjsip]. U sekciji TLS/SSL/SRTP Settings, izaberite svoj sertifikat i postavite SSL Method na tlsv1_2.
• Aktivacija transporta: U istom meniju, pod sekcijom Transports, podesite tls – 0.0.0.0 – All na Yes. Proverite da li je port postavljen na 5061.
• Dodela porta: U General SIP Settings, postavite Default TLS Port Assignment na PJSIP.

2. Podešavanje lokala (Extension)

Enkripcija se mora ručno uključiti za svaki lokal koji želite da obezbedite.

• Transport: Na tabu Advanced unutar podešavanja lokala, postavite Transport na 0.0.0.0-tls.
• Media Encryption: Postavite Media Encryption na SRTP via in-SDP (Recommended).
• Enforce Security: Postavite Allow Non-Encrypted Media na No kako biste osigurali da poziv ne može proći bez enkripcije.

3. Konfiguracija telefona (Endpoint)

Vaš IP telefon ili softphone mora biti usklađen sa serverom.

• SIP Port: Promenite adresu servera na telefonu tako da koristi port 5061.
• Transport Type: Promenite tip transporta sa UDP/TCP na TLS.
• SRTP Mode: Omogućite SRTP (često označeno kao “Required” ili “Mandatory”) u sigurnosnim podešavanjima telefona.
• Sertifikati: Određeni modeli (npr. Yealink ili Poly) zahtevaju da se u njih uveze Root CA sertifikat sa FreePBX-a kako bi telefon “verovao” serveru.

4. Rešavanje problema (Troubleshooting)

• Asterisk CLI: Koristite komandu pjsip set logger on da vidite SIP poruke u realnom vremenu i uočite greške u TLS rukovanju (handshake).
• Verify Client: Ako telefoni odbijaju registraciju, pokušajte da u SIP podešavanjima opciju Verify Client postavite na No.