Sécuriser un Yeastar P-Series : accès distant, FQDN, anti-fraude
Sécuriser un Yeastar P-Series : Remote Access Service et FQDN, filtrage par pays, blocklist mondiale, auto-défense, 2FA, mises à jour et règles anti-fraude.
La réponse courte : un Yeastar P-Series dispose de toutes les protections nécessaires, mais elles ne servent que si elles sont activées et réglées. Nous les organisons en quatre couches. Un : ne jamais exposer le standard par redirection de ports, et passer par le Remote Access Service avec un FQDN Yeastar. Deux : filtrer le réseau, avec les pays autorisés, la blocklist mondiale de Yeastar et l’auto-défense. Trois : protéger les comptes, avec la double authentification, des mots de passe forts et des restrictions d’enregistrement. Quatre : limiter les appels sortants, dernière ligne de défense contre la fraude téléphonique. Les mises à jour du firmware complètent l’ensemble.
Chez ALLSAFE SOLUTIONS, partenaire certifié Yeastar et spécialiste de la cybersécurité au Maroc, nous appliquons ces réglages sur chaque standard que nous installons ou reprenons. Toutes les fonctions citées proviennent du guide de sécurité P-Series publié sur help.yeastar.com et de la page sécurité de yeastar.com. Les intitulés de menus sont ceux de l’édition Software ; ils peuvent légèrement varier selon l’édition et la version.
Pourquoi un standard est une cible
Un standard téléphonique exposé sur internet attire deux types d’attaques : les tentatives d’enregistrement massives sur les comptes SIP, et l’accès à l’interface d’administration. Le but est presque toujours le même : passer des appels vers des numéros surtaxés ou internationaux aux frais de l’entreprise, souvent la nuit ou le week-end. Yeastar le rappelle dans son guide : les tentatives ont lieu surtout hors des heures ouvrées, pendant les week-ends et les jours fériés. La facture arrive ensuite chez l’opérateur.
| Menace | Fonction Yeastar qui y répond |
|---|---|
| Standard exposé par redirection de ports | Remote Access Service, FQDN Yeastar |
| Attaques depuis des pays sans lien avec l’activité | Allowed Country IPs |
| Adresses IP malveillantes connues | Global Anti-hacking IP Blocklist |
| Attaques par force brute, inondation de requêtes | Auto Defense (règles de pare-feu dynamiques) |
| Vol de mot de passe administrateur | Double authentification, politique de mots de passe |
| Enregistrement d’un appareil inconnu sur une extension | Restriction par User Agent et par adresse IP, verrouillage après échecs |
| Appels frauduleux sortants | Permissions de routes, PIN, conditions horaires, pays autorisés, fréquence et durée d’appel |
| Faille logicielle connue | Mise à jour automatique du firmware |
Couche 1 : l’accès distant, sans redirection de ports
La recommandation de Yeastar est claire : éviter la redirection de ports, qui expose le standard sur internet, et utiliser le Remote Access Service. Ce service associe au standard un nom de domaine fourni par Yeastar (FQDN), qui donne un accès sécurisé au portail web et aux clients Linkus, ainsi qu’au serveur LDAP à distance, sans ouvrir de port sur le pare-feu de l’entreprise.
Trois points de vigilance :
- Le FQDN est définitif. Yeastar précise qu’il ne peut plus être modifié après enregistrement. Choisissez un nom neutre.
- Restreindre les comptes. Par défaut, toutes les extensions peuvent accéder au client web Linkus via le FQDN. Yeastar recommande de limiter l’accès distant par compte et par adresse IP.
- Le SIP distant. Si l’enregistrement SIP à distance via le FQDN est activé, Yeastar recommande les mêmes restrictions de comptes et d’adresses IP.
Pour les utilisateurs, le déploiement de Linkus à distance est détaillé dans notre guide Yeastar Linkus. Si votre réseau a déjà un pare-feu d’entreprise, il reste en première ligne : nous l’appliquons avec la même rigueur que dans les 10 réglages de sécurité d’un FortiGate.
Couche 2 : le filtrage réseau intégré au standard
Pays autorisés (Allowed Country IPs). Dans Security > Security Settings, on active la protection et on n’autorise que les pays et régions nécessaires. Avertissement de Yeastar : autorisez d’abord votre propre pays, sinon vous perdez l’accès au standard. Pensez aussi aux pays où voyagent vos collaborateurs équipés de Linkus, et à la région du serveur DNS utilisé par le standard, dont dépendent les notifications push.
Global Anti-hacking IP Blocklist. Yeastar centralise les adresses IP bloquées par des standards Yeastar dans le monde et suspectées d’activité malveillante. En rejoignant le programme, le standard rejette toute connexion venant de ces adresses. La participation se vérifie dans Security > Security Settings > Security Options.
Static Defense. Des règles de pare-feu statiques acceptent les adresses de confiance et bloquent les menaces connues. Yeastar conseille de conserver les règles d’acceptation du réseau local avant d’ajouter des règles restrictives, et de bloquer l’accès HTTP non fiable sur le port 80, une grande partie des attaques passant par les connexions web.
Auto Defense. Des règles dynamiques bloquent automatiquement une adresse IP qui envoie trop de paquets sur une période donnée, ce qui neutralise la force brute et les tentatives de connexion massives. Le standard fournit des règles par défaut pour SSH, l’enregistrement SIP et l’accès web, que l’on peut compléter.
Couche 3 : les comptes et les enregistrements
Double authentification du super administrateur. Depuis le portail, menu du compte puis paramètres de sécurité, on active la 2FA avec une application d’authentification (Google Authenticator, Microsoft Authenticator, FreeOTP ou Authy) ou un code envoyé par e-mail. Une option d’appareil de confiance évite de ressaisir le code sur le poste habituel. Pour le cadre général, voir déployer la MFA en entreprise.
Double authentification des utilisateurs. L’administrateur peut rendre la 2FA obligatoire pour toutes les extensions (Security Options). Sinon, chaque utilisateur choisit de l’activer dans les clients Linkus bureau ou web.
Mots de passe et rôles. Le standard permet d’imposer une longueur minimale et d’interdire la réutilisation des derniers mots de passe. Yeastar recommande des identifiants SIP complexes, sans numéro ni nom d’extension. Les rôles intégrés (administrateur, opérateur, employé) et les rôles personnalisés limitent ce que chacun peut faire.
Verrouillage automatique. Après un certain nombre d’échecs de connexion ou d’enregistrement depuis une même adresse, le standard bloque cette adresse et la liste dans Blocked IPs.
Restrictions d’enregistrement par extension. Dans l’onglet Sécurité de chaque extension, on peut exiger un User Agent précis (par exemple le modèle de téléphone déployé) et n’accepter que certaines adresses IP ou sous-réseaux. On garde aussi le nombre d’enregistrements simultanés au strict nécessaire.
Couche 4 : l’anti-fraude sur les appels sortants
Yeastar qualifie la sécurité des appels sortants de dernière ligne de défense : si un compte est compromis, elle limite les dégâts.
| Mesure | Ce qu’elle fait |
|---|---|
| Permissions de routes sortantes | Routes séparées pour le local, le national et l’international, attribuées aux seules extensions concernées |
| Code PIN | Saisie obligatoire d’un code avant de composer sur une route sensible |
| Conditions horaires | Appels sortants autorisés seulement aux heures ouvrées |
| Indicatifs de pays autorisés | Appels internationaux limités aux utilisateurs et aux pays nécessaires |
| Numéros bloqués | Blocage des numéros ou préfixes surtaxés |
| Fréquence d’appels | Plafond d’appels sortants par extension sur une période |
| Appels simultanés | Plafond sur chaque trunk SIP |
| Durée d’appel | Durée maximale globale ou par extension |
Ces règles se complètent avec celles de l’opérateur : demandez aussi le blocage des destinations dont vous n’avez pas besoin au niveau du trunk ; sur le choix du trunk lui-même, voir trunk SIP : conserver ses numéros.
Le système : mises à jour, SSH, ports
Le guide Yeastar insiste sur trois réglages. Garder le firmware à jour, avec l’option de mise à jour automatique dans Maintenance > Upgrade, idéalement hors des heures ouvrées. Désactiver SSH et ne l’activer que pour un dépannage. Changer les ports par défaut si le standard est exposé, le port 5060 étant particulièrement visé. Enfin, activez les notifications d’événements de sécurité (blocage d’un utilisateur web, d’un utilisateur Linkus ou d’un enregistrement d’extension) vers une adresse réellement surveillée.
Qui protège quoi : standard, pare-feu, opérateur
La sécurité d’un standard ne repose pas sur un seul équipement. Nous répartissons les rôles ainsi :
| Niveau | Rôle | Exemples |
|---|---|---|
| Pare-feu de l’entreprise | Ne rien exposer, segmenter | Aucune redirection vers le standard, VLAN voix séparé, SIP ALG désactivé |
| Standard Yeastar | Filtrer, authentifier, limiter | Pays autorisés, blocklist, auto-défense, 2FA, règles sortantes |
| Opérateur du trunk SIP | Limiter côté réseau | Destinations bloquées, plafond d’appels, alertes de consommation selon les offres |
| Supervision | Détecter et réagir | Alertes de blocage, volumes d’appels inhabituels, échecs de connexion répétés |
Le dernier niveau est souvent le plus négligé. Un standard bien réglé qui envoie ses alertes dans le vide ne protège qu’à moitié : quelqu’un doit lire les notifications et agir. C’est l’objet de la supervision 24/7 que nous assurons, et de notre approche globale de sécurité du réseau.
Les erreurs que nous corrigeons
- Port 5060 et interface web redirigés vers le standard pour dépanner un télétravailleur, puis oubliés.
- Filtrage par pays activé sans autoriser le Maroc, ou trop strict, au point de couper les push Linkus.
- Blocklist mondiale non rejointe, alors qu’elle s’active en une case.
- Mot de passe administrateur partagé, sans 2FA.
- Identifiants SIP faibles, reprenant le numéro d’extension.
- Une seule route sortante donnant l’international à tous les postes, à toute heure.
- Firmware jamais mis à jour depuis l’installation.
- Alertes de sécurité envoyées vers une boîte que personne ne lit.
Checklist de sécurité Yeastar P-Series
- Aucune redirection de ports ; Remote Access Service et FQDN en place.
- Accès distant limité par compte et par adresse IP.
- Pays autorisés réglés, Maroc inclus.
- Global Anti-hacking IP Blocklist rejointe.
- Auto Defense active, HTTP port 80 bloqué depuis l’extérieur.
- 2FA du super administrateur, 2FA imposée aux extensions.
- Politique de mots de passe et rôles définis.
- User Agent et IP restreints pour les extensions sensibles.
- Routes sortantes, PIN, horaires, pays, fréquence, durée.
- Mise à jour automatique du firmware, SSH désactivé.
- Notifications de sécurité vers une adresse surveillée.
Comment nous procédons
Nous commençons par un audit de sécurité du standard : exposition sur internet, comptes, règles de routage, journaux des appels et des adresses bloquées. Nous appliquons ensuite les quatre couches décrites ici, documentons les réglages, et contrôlons que l’accès distant et les notifications push fonctionnent toujours. Le standard est ensuite supervisé 24/7 dans notre offre de téléphonie IP au Maroc, avec une prise en charge des incidents critiques en moins de 15 minutes. Vous migrez depuis un ancien modèle ? Voir migrer de Yeastar S-Series vers P-Series.
Un doute sur la configuration de votre standard ? Demandez votre audit de votre téléphonie offert : nous vous répondons sous 24 h ouvrées avec la liste des corrections prioritaires.
Questions fréquentes
Comment accéder à un Yeastar P-Series à distance sans ouvrir de ports ?
Avec le Remote Access Service de Yeastar : un nom de domaine Yeastar (FQDN) est associé au standard et donne accès au portail d’administration et aux clients Linkus sans redirection de ports. Yeastar recommande explicitement d’éviter la redirection de ports, qui expose le standard sur internet.
Yeastar P-Series propose-t-il la double authentification ?
Oui. Le super administrateur peut l’activer avec une application d’authentification (Google Authenticator, Microsoft Authenticator, FreeOTP, Authy) ou par code envoyé par e-mail. L’administrateur peut aussi la rendre obligatoire pour toutes les extensions, utilisée alors dans les clients Linkus bureau et web.
Qu’est-ce que la Global Anti-hacking IP Blocklist de Yeastar ?
C’est une liste d’adresses IP suspectes, bloquées par des standards Yeastar dans le monde, partagée entre tous les standards qui participent au programme. Toutes les connexions provenant de ces adresses sont rejetées. On vérifie la participation dans Security > Security Settings > Security Options.
Comment limiter la fraude aux appels internationaux sur Yeastar ?
En combinant les protections sortantes documentées par Yeastar : routes sortantes par type d’appel réservées aux extensions qui en ont besoin, code PIN, conditions horaires, indicatifs de pays autorisés, numéros bloqués, limitation de la fréquence d’appels, plafond d’appels simultanés sur les trunks et durée maximale d’appel.
Le filtrage par pays peut-il bloquer l’administrateur ?
Oui. Yeastar avertit qu’il faut autoriser son propre pays avant d’activer la protection, sinon l’accès au standard est perdu. Le filtrage peut aussi bloquer les notifications push de Linkus si la région du serveur DNS utilisé n’est pas autorisée.
À propos de la rédaction
ALLSAFE SOLUTIONS
Ingénieurs réseau, sécurité et cloud
Rédigé par l’équipe d’ingénieurs d’ALLSAFE SOLUTIONS, infogérant fondé à Casablanca par des ingénieurs réseau, sécurité et cloud. Nos articles s’appuient sur les projets que nous menons chez nos clients, au Maroc comme à l’international.
LinkedIn
