Acerca de ALG SIP
Si en su organización se usa Voz sobre IP (VoIP), el usuario puede agregar una ALG (Puerta de Enlace de la Capa de Aplicación) H.323 o SIP (Protocolo de Inicio de Sesión) para abrir los puertos necesarios para habilitar VoIP a través de su Firebox. Una ALG se crea del mismo modo que una política de proxy y ofrece opciones de configuración similares. Estas ALGs se han creado para funcionar en un entorno NAT para mantener la seguridad en equipos de conferencias con direcciones privadas detrás del dispositivo Firebox.
H.323 se usa comúnmente en equipos de videoconferencia. SIP se utiliza normalmente con teléfonos IP. Si es necesario se pueden usar ALG H.323 y SIP al mismo tiempo. Para determinar cuál ALG necesita agregar, consulte la documentación para dispositivos o aplicaciones VoIP.
No existe una política predeterminada para el tráfico SIP-ALG. Antes de configurar SIP-ALG, debe crear una política de proxy para manejar el tráfico. Para ver las instrucciones para agregar SIP-ALG a la configuración de su dispositivo Firebox, consulte Agregar una Política de Proxy a la Configuración.
Para configuraciones de implementación compatibles, consulte Ejemplos de Diagramas de Red VoIP.
Componentes de VoIP
Es importante comprender que en general VoIP se implementa con:
Conexiones punto a punto
En una conexión punto a punto, cada uno de los dos dispositivos conoce la dirección IP del otro dispositivo y se conecta al otro directamente.
Conexiones basadas en el host
Conexiones gestionadas por un sistema de gestión de llamadas (PBX). El sistema de gestión de llamadas puede tener host propio o un host de un proveedor de servicios de terceros.
En el SIP estándar, dos componentes claves de la gestión de llamadas son el SIP Registrar y el Proxy SIP. Juntos, estos componentes manejan las conexiones albergadas por el sistema de gestión de llamadas. El SIP-ALG de WatchGuard abre y cierra los puertos necesarios para que SIP pueda funcionar. El SIP-ALG WatchGuard es compatible con circuitos SIP. Es compatible con el SIP Registrar y con Proxy SIP cuando se usan con un sistema de gestión de llamadas externo al dispositivo Firebox.
La coordinación del gran número de componentes de una instalación VoIP puede ser compleja. Recomendamos asegurarse de que las conexiones VoIP funcionen en forma satisfactoria antes de agregar una ALG H.323 o SIP. Esto puede ayudar al usuario a resolver cualquier problema.
Soporte de Mensajería Instantánea
SIP-ALG soporta mensajería instantánea (IM) basada en páginas como parte del protocolo SIP predeterminado. No hace falta llevar a cabo otros pasos para usar IM con SIP-ALG.
Funciones de ALG
Cuando utiliza un SIP-ALG, su dispositivo Firebox:
- Enruta tráfico para aplicaciones de VoIP
- Abre los puertos necesarios para hacer y recibir llamadas y para intercambiar medios de audio y video
- Se asegura de que las conexiones VoIP usen protocolos SIP estándar
- Genera mensajes de registro con fines de auditoría
- Es compatible con la presencia de SIP a través del uso del método Publicar de SIP. Esto permite a los usuarios de teléfonos virtuales ver el estado de los puntos.
Muchos dispositivos y servidores VoIP usan NAT (Traducción de Dirección de Red) para abrir y cerrar puertos de forma automática. Las ALG H.323 y SIP también cumplen esta función. Debe deshabilitar NAT en sus dispositivos VoIP si configura una H.323 o SIP-ALG.
Configurar SIP-ALG
Pestaña de Ajustes
En la pestaña de Configuración, puede establecer información básica acerca de una política de proxy, como por ejemplo, si ésta permite o niega tráfico, crear reglas de acceso para una política o configurar un NAT estático o un balance de carga en el servidor. La pestaña de Ajustes también muestra el puerto y protocolo para la política, así como también una descripción opcional de la política. Los ajustes en esta pestaña pueden utilizarse para definir las preferencias de registro, notificaciones, bloqueo automático y tiempo de espera.
- Las conexiones son — Especificar si las conexiones son Permitidas, Denegadas o Denegadas (enviar restablecer) y definir quién aparece en la lista Desde y Hacia (en la pestaña de Política de la definición de proxy). Consulte Definir Reglas de Acceso para una Política.
- También puede configurarse NAT estática o el balance de carga en el servidor. Consulte Configurar NAT Estática (SNAT) y Configurar el Balance de Carga del Servidor.
- Para definir las configuraciones de la generación de registros para la política, establezca las configuraciones en la sección Generación de registros.
Para obtener más información, consulte Establecer las Preferencias de Generación de Registros y Notificación. - Si configura la lista desplegable de Las conexiones están en Denegadas o Denegadas (enviar restablecer), puede bloquear sitios que intenten utilizar el POP3.
Para obtener más información, consulte Bloquear Sitios Temporalmente con la Configuración de Políticas. - Para cambiar el tiempo de espera inactivo establecido por Firebox o el servidor de autenticación, consulte Configurar un Tiempo de Espera Inactivo Personalizado.
Pestaña SD-WAN
En la pestaña SD-WAN, puede seleccionar aplicar una acción de SD-WAN a la política. También puede agregar una nueva acción de SD-WAN. Para más información acerca del enrutamiento SD-WAN, consulte Acerca de SD-WAN.
SD-WAN reemplaza el enrutamiento basado en la política en Fireware v12.3 o superior.
Pestaña de Application Control
Si se habilita Application Control en su Firebox, puede establecer la acción que este proxy utiliza para Application Control.
- Seleccione la pestaña Application Control.
- En la lista desplegable Acción de Application Control, seleccione una acción de Application Control para utilizar en esta política o cree una nueva acción.
- (Opcional) Edite la configuración de Application Control para la acción seleccionada.
- Haga clic en Guardar.
Para más información, consulte Activar Application Control en una Política.
Pestaña de Administración de Tráfico
En la pestaña de Administración de Tráfico, puede seleccionar la acción de Administración de Tráfico para la política. También puede crear una nueva acción de Administración de Tráfico. Para más información acerca de las acciones de Administración de Tráfico, consulte Definir una Acción de Administración de Tráfico en v11.8.x e Inferiores y Agregar una Acción de Administración de Tráfico a una Política.
Para aplicar una acción de Administración de Tráfico en una política:
- Seleccione la pestaña Administración de Tráfico.
- En la lista desplegable de Acción de Administración de Tráfico, seleccione una acción de Administración de Tráfico.
O para crear una nueva Acción de Administración de Tráfico, seleccione Crear nueva y ajuste la configuración tal como se describe en el tema Definir una Acción de Administración de Tráfico en v11.8.x e Inferiores. - Haga clic en Guardar.
Pestaña de Acción de Proxy
Usted puede elegir una acción de proxy predefinida o configurar una definida por el usuario para este proxy. Para más información acerca de cómo configurar acciones de proxy, consulte Acerca de las Acciones de Proxy.
Para configurar la acción de proxy:
- Seleccione la pestaña Acción de Proxy.
- En la lista desplegable Acción de Proxy, seleccione la acción de proxy que utilizará para esta política.
Para obtener información acerca de acciones de proxy, consulte Acerca de las Acciones de Proxy. - Haga clic en Guardar.
Para el SIP-ALG, puede configurar estas categorías de configuraciones para una acción de proxy:
Pestaña de Programación
En la pestaña de Programación, puede especificar un programa de operación para la política. Puede especificar un programa existente o crear un nuevo programa.
- Seleccione la pestaña Programación.
- En la lista desplegable Acción de Programa, seleccione un programa.
O para crear un nuevo programa, seleccione Crear Nuevo y ajuste la configuración tal como se describe en los temas Crear Cronogramas para las Acciones de Firebox y Establecer un Cronograma Operativo. - Haga clic en Guardar.
Pestaña Avanzada
La pestaña Avanzada incluye la configuración para opciones NAT, QoS, multi-WAN e ICMP.
Para editar o agregar un comentario a la configuración de esta política de proxy, ingrese el comentario en el cuadro de texto Comentario.
Para más información sobre las opciones para esta pestaña, consulte:
Pestaña Política
Para establecer las reglas de acceso y otras opciones, seleccione la pestaña Política.
- Las conexiones de SIP-ALG son — Especificar si las conexiones están Permitidas, Denegadas o Denegadas (enviar restablecer) y definir quién aparece en la lista Desde y Hacia (en la pestaña de Política de la definición de proxy). Consulte Definir Reglas de Acceso para una Política.
- Enrutar el tráfico saliente usando > SD-WAN — Vea Acerca de SD-WAN. ¡Consejo!
- También puede configurarse NAT estática o el balance de carga en el servidor. Consulte Configurar NAT Estática (SNAT) y Configurar el Balance de Carga del Servidor.
- Habilitar Application Control — Habilite Application Control y seleccione la acción de Application Control que se usará para esta política. Para más información, consulte Activar Application Control en una Política.
- Habilitar Geolocation — Habilite la Geolocation y seleccione la acción de Geolocation que se usará para esta política. Para más información, consulte Configurar Geolocation.
- Habilitar IPS — Habilite IPS para esta política. Para más información, consulte Habilitar o Deshabilitar el IPS para una Política.
- Acción de proxy — Seleccione la acción de proxy que utilizará para esta política. También puede editar los conjuntos de normas para las acciones proxy.
Pestaña Propiedades
En la pestaña Propiedades, puede configurar las siguientes opciones:
- Para editar o agregar un comentario a la configuración de esta política, ingrese el comentario en el cuadro de texto Comentario.
- Para definir la configuración de la generación de registros para la política, haga clic en Generación de registros.
Para obtener más información, consulte Establecer las Preferencias de Generación de Registros y Notificación. - Si selecciona la lista desplegable Las conexiones SIP-ALG están (en la pestaña Política) en Denegadas o Denegadas (enviar restablecer), puede bloquear los sitios que intenten usar POP3.
Para más información, consulte Bloquear Sitios Temporalmente con la Configuración de Políticas. - Para cambiar el tiempo de espera inactivo establecido por Firebox o el servidor de autenticación, consulte Configurar un Tiempo de Espera Inactivo Personalizado.
Pestaña Avanzada
También puede usar estas opciones en la definición de proxy:
- Establecer un Cronograma Operativo
- Agregar una Acción de Administración de Tráfico a una Política
- Definir la Administración de Errores de ICMP
- Aplicar Reglas NAT (Tanto 1-to-1 NAT como NAT dinámico están habilitados por defecto en todas las políticas.)
- Configure los Límites de la Tasa de Conexión
- Habilitar el Marcado QoS y la Priorización para una Política
- Definir la Duración de Sticky Connection para una Política
Configurar la Acción de Proxy
Usted puede elegir una acción de proxy predefinida o configurar una definida por el usuario para este proxy. Para más información acerca de cómo configurar acciones de proxy, consulte Acerca de las Acciones de Proxy.
Para el SIP-ALG, puede configurar estas categorías de configuraciones para una acción de proxy: