> For the complete documentation index, see [llms.txt](https://docs.mikopbx.com/mikopbx/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.mikopbx.com/mikopbx/manual/connectivity/firewall.md).

# Сетевой экран

Описание и настройка Firewall правил в MikoPBX

**Сетевой экран** в MikoPBX — это интерфейс для настройки брандмауэра (Firewall) системы. Здесь администраторы могут создавать и управлять правилами фильтрации сетевого трафика, контролируя доступ к MikoPBX и защищая ее от несанкционированного доступа и сетевых угроз. Настройка сетевого экрана обеспечивает безопасность телефонной системы, предотвращая потенциальные атаки и обеспечивая стабильную работу в сетевой инфраструктуре организации.

В MikoPBX все локальные подсети возможно описать в разделе «**Сеть и Firewall**» → «**Сетевой экран**». Сетевой экран предназначен для ограничения доступа к станции по типу трафика и подсетям.

<figure><img src="https://3704471835-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-MPK4TuzRBnP7rt8htho-887967055%2Fuploads%2Fgit-blob-711ee9ef2cd44226028ead7ca06099e0bc33143d%2Fnew1%20(1).png?alt=media" alt=""><figcaption><p>Раздел "<strong>Сеть и Firewall</strong>" -> "<strong>Сетевой экран</strong>" в MikoPBX</p></figcaption></figure>

Для того, чтобы добавить новое правило, необходимо нажать на кнопку "**Добавить новую подсеть**":

<figure><img src="https://3704471835-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-MPK4TuzRBnP7rt8htho-887967055%2Fuploads%2Fgit-blob-50f5000e4f9e47e10f1daa524c7f288b142146be%2Fnew2%20(1).png?alt=media" alt=""><figcaption><p>Элемент для создания нового правила</p></figcaption></figure>

## Общие настройки

Название - задайте произвольное имя для нового правила сетевого экрана.\
Справа от **адреса подсети** находится поле **Маска подсети** в формате CIDR.

<figure><img src="https://3704471835-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-MPK4TuzRBnP7rt8htho-887967055%2Fuploads%2Fgit-blob-e966fdb0a43de7d6b90593a328199d4ec6a26359%2F13%20(5).png?alt=media" alt=""><figcaption><p>Параметры правила</p></figcaption></figure>

## Доступные сервисы <a href="#dostupnye_servisy" id="dostupnye_servisy"></a>

* SIP\&RTP-регистрация телефонов и голосовой трафик - Session Initiation Protocol используется для установки соединений между VoIP телефонами
* WEB-доступ к административному интерфейсу настройки АТС
* SSH-root доступ к системе. SSH(Secure Shell) позволяет получить доступ к консоли MikoPBX.
* AMI-доступ к asterisk manager api через telnet. Asterisk Manager Interface (AMI) предоставляет доступ к Asterisk по TCP/IP протоколу.
* AJAM - доступ к asterisk manager api, через http, https
* ICMP-проверка связи командой ping
* CTICLIENT-подключение панели телефонии для 1С

<figure><img src="https://3704471835-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-MPK4TuzRBnP7rt8htho-887967055%2Fuploads%2Fgit-blob-68805b4aca97be487714e9eb00af3c5ac00e993e%2F14%20(1).png?alt=media" alt=""><figcaption><p>Раздел "<strong>Доступные сервисы</strong>"</p></figcaption></figure>

## Дополнительные параметры <a href="#dopolnitelnye_parametry" id="dopolnitelnye_parametry"></a>

* У каждой подсети есть флаг «**Это VPN или локальная сеть**». При установке этого флага MikoPBX будет представляться всем локальным подсетям локальным IP, а не внешним.
* Флаг «**Никогда не блокировать адреса из этой сети**» следует включать только для доверенных подсетей. Если включен данный флаг, то правила защиты от взлома на данную подсеть не распространяются.

<figure><img src="https://3704471835-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-MPK4TuzRBnP7rt8htho-887967055%2Fuploads%2FLz2eetRV9cj9uUUU9uon%2F15.png?alt=media&amp;token=f6991c08-4101-4317-99d7-7a256b037ade" alt=""><figcaption><p>Раздел "<strong>Дополнительные параметры</strong>"</p></figcaption></figure>

## Поведение в Docker-контейнере

В Docker (bridge-режим) внутренние правила файрвола MikoPBX и fail2ban **не защищают веб-интерфейс**: контейнер не управляет iptables хоста, а HTTP-клиенты приходят со шлюза `docker0`. SIP-защита продолжает работать (UDP-DNAT сохраняет source IP).

Для защиты веб-интерфейса в Docker используйте один из двух подходов:

* `network_mode: host` для контейнера (если хост выделен под АТС);
* Внешний bouncer (CrowdSec-совместимый) поверх API MikoPBX — подробнее в разделе [Внешний файрвол для Docker](/mikopbx/security/external-firewall-enforcement.md).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.mikopbx.com/mikopbx/manual/connectivity/firewall.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.