VoIP（Voice over Internet Protocol）簡而言之就是將模擬聲音訊號（Voice）數(shù)字化，以數(shù)據(jù)封包（Data Packet）的型式在 IP 數(shù)據(jù)網(wǎng)絡(luò) （IP Network）上做實時傳遞。 VoIP的優(yōu)勢是能廣泛地采用Internet和IP互連的環(huán)境，提供比傳統(tǒng)業(yè)務(wù)更多、更好的服務(wù)。 VoIP可以在IP網(wǎng)絡(luò)上便宜的傳送語音、傳真、視頻、和數(shù)據(jù)等業(yè)務(wù)，如統(tǒng)一消息、虛擬電話、虛擬語音/傳真郵箱、查號業(yè)務(wù)、Internet呼叫中心、Internet呼叫管理、電視會議、電子商務(wù)、傳真存儲轉(zhuǎn)發(fā)和各種信息的存儲轉(zhuǎn)發(fā)等。在未來的3到5年，2009年的中國VoIP市場流量將達(dá)到9950億分鐘，而具有更強大實力的新VoIP服務(wù)供應(yīng)商也會涌入市場。無線VoIP在不久的將來會與傳統(tǒng)無線通信實現(xiàn)并存和競爭的關(guān)系，而不是對傳統(tǒng)無線通信的一種廉價替代物。

　　你可以使用IPSec加密來保護網(wǎng)絡(luò)中的VoIP數(shù)據(jù)；如果攻擊者穿越了你的物理層防護措施，并截獲了VoIP數(shù)據(jù)包，他們也無法破譯其中的內(nèi)容。IPSec使用頭以及壓縮安全有效載荷來為IP傳輸提供性、完整性以及機密性。

　　網(wǎng)絡(luò)層加密

　　你可以使用IPSec加密來保護網(wǎng)絡(luò)中的VoIP數(shù)據(jù)；如果攻擊者穿越了你的物理層防護措施，并截獲了VoIP數(shù)據(jù)包，他們也無法破譯其中的內(nèi)容。IPSec使用頭以及壓縮安全有效載荷來為IP傳輸提供性、完整性以及機密性。

　　IPSec 是安全聯(lián)網(wǎng)的長期方向。它通過端對端的安全性來提供主動的保護以防止專用網(wǎng)絡(luò)與 Internet 的攻擊。在通信中，只有發(fā)送方和接收方才是必須了解 IPSec 保護的計算機。在 Windows XP 和 Windows Server 2003 家族中，IPSec 提供了一種能力，以保護工作組、局域網(wǎng)計算機、域客戶端和服務(wù)器、分支機構(gòu)（物理上為遠(yuǎn)程機構(gòu)）、Extranet 以及漫游客戶端之間的通信。

　　會話層鎖定

　　你還可以使用TLS來保護VoIP會話，TLS使用的是數(shù)字簽名和公共密鑰加密，這意味著每一個端點都必須有一個可信任的、由權(quán)威CA的簽名。或者你也可以通過一個內(nèi)部CA（比如一臺運行了服務(wù)的Windows服務(wù)器）來進行企業(yè)內(nèi)部的通話，并經(jīng)由一個公共CA來進行公司之外的通話。

　　保護應(yīng)用層

　　你可以使用"安全RTP（SRTP）"來對應(yīng)用層的介質(zhì)進行加密。RFC 3711定義了SRTP,讓它可以提供信息、機密性、回放保護、阻止對RTP數(shù)據(jù)流的拒絕服務(wù)式攻擊等安全機制。通過SRTP,你可以對無線網(wǎng)和有線網(wǎng)上的VoIP通訊進行有效的保護。

　　建立VoIP網(wǎng)絡(luò)的冗余機制

　　要時刻準(zhǔn)備著可能會遭到病毒、DoS攻擊，它們可能會導(dǎo)致網(wǎng)絡(luò)系統(tǒng)癱瘓。構(gòu)建能夠設(shè)置多層節(jié)點、網(wǎng)關(guān)、服務(wù)器、電源及呼叫路由器的網(wǎng)絡(luò)系統(tǒng)，并與不只一個供應(yīng)商互聯(lián)。經(jīng)常性的對各個網(wǎng)絡(luò)系統(tǒng)進行考驗，確保其工作良好，當(dāng)主服務(wù)網(wǎng)絡(luò)癱瘓時，備用設(shè)施可以迅速接管工作。

　　配備專用防火墻

　　對一個IP網(wǎng)絡(luò)來說，邊界保護通常意味著使用防火墻，不過一個老舊的防火墻是不適合VoIP網(wǎng)絡(luò)的。你需要一個特別設(shè)計的防火墻，他得能識別和分析VoIP協(xié)議，能對VoIP的數(shù)據(jù)包進行深度檢查，并能分析VoIP的有效載荷以便發(fā)現(xiàn)所有和攻擊有關(guān)的蛛絲馬跡。

　　如果你的VoIP部署使用了SIP協(xié)議（Session Initiation Protocol），那么防火墻就應(yīng)當(dāng)能執(zhí)行下述操作：監(jiān)視進出的SIP信息，以便發(fā)現(xiàn)應(yīng)用程式層次上的攻擊；支持TLS（傳輸層安全）；執(zhí)行基于SIP的NAT及介質(zhì)端口管理；檢測非正常的呼叫模式；記錄SIP信息的詳情，特別是未經(jīng)授權(quán)的呼叫。

　　內(nèi)外網(wǎng)隔離

　　將電話管理系統(tǒng)與網(wǎng)絡(luò)系統(tǒng)置于國際互聯(lián)網(wǎng)絡(luò)直接訪問之外是一個不錯的選擇，將語音服務(wù)與其它服務(wù)器置于相分離的域中，并限制對其訪問。

　　盡量減少軟終端

　　VoIP軟終端電話易于遭受電腦黑客攻擊，即使它位于公司防火墻之后，因為這種東西是與普通的PC、VoIP軟件及一對耳機一起使用的。而且，軟終端電話并沒有將語音和數(shù)據(jù)分開，因此，易于受到病毒和蠕蟲的攻擊。

　　限制所有的VoIP數(shù)據(jù)只能傳輸?shù)揭粋€VLAN上

　　VLAN（Virtual Local Area Network）的中文名為"虛擬局域網(wǎng)".VLAN是一種將局域網(wǎng)設(shè)備從邏輯上劃分成一個個網(wǎng)段，從而實現(xiàn)虛擬工作組的新興數(shù)據(jù)交換技術(shù)。這一新興技術(shù)主要應(yīng)用于交換機和路由器中，但主流應(yīng)用還是在交換機之中。但又不是所有交換機都具有此功能，只有VLAN協(xié)議的第三層以上交換機才具有此功能，這一點可以查看相應(yīng)交換機的說明書即可得知。即這些工作站可以在不同物理LAN網(wǎng)段。由VLAN的特點可知，一個VLAN內(nèi)部的廣播和單播流量都不會轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量、減少設(shè)備投資、簡化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)的安全性。

　　Cisco建議對語音和數(shù)據(jù)分別劃分VLAN,這樣有助于按照優(yōu)先次序來處理語音和數(shù)據(jù)。劃分VLAN也有助于防御費用欺詐、DoS攻擊、竊聽、劫持通信等。VLAN的劃分使用戶的計算機形成了一個有效的封閉的圈子，它不允許任何其它計算機訪問其設(shè)備，從而也就避免了電腦的攻擊，VoIP網(wǎng)絡(luò)也就相當(dāng)安全；即使受到攻擊，也會將損失降到。

　　監(jiān)控并跟蹤網(wǎng)絡(luò)的通信模式

　　監(jiān)控工具和入侵探測系統(tǒng)能幫助用戶識別那些侵入VoIP網(wǎng)絡(luò)的企圖。詳細(xì)觀察VoIP日志可以幫助發(fā)現(xiàn)一些不規(guī)則的東西，如莫名其妙的國際電話或是本公司或組織基本不聯(lián)系的國際電話，多重登錄試圖破解密碼，語音暴增等。

　　定期進行安全

　　要確信只有經(jīng)過鑒別的設(shè)備和用戶，才可以訪問那些經(jīng)過限制的以太網(wǎng)端口。管理員常常被欺騙，接授那些沒有經(jīng)過允許的軟終端電話的請求，因為黑客們能夠通過插入RJ44端口輕易地模仿IP地址和MAC地址。

　　總結(jié)

　　基于IP網(wǎng)絡(luò)及其協(xié)議的公共性質(zhì)，使得VoIP天生就具備相對于傳統(tǒng)電話網(wǎng)而言更易受到攻擊的特質(zhì)。不過，通過采取一個仔細(xì)規(guī)劃的、多層次的VoIP網(wǎng)絡(luò)防護措施，企業(yè)就可以讓VoIP網(wǎng)絡(luò)的安全程度趕上甚至是超過傳統(tǒng)的電話系統(tǒng)。