現(xiàn)在流行的IP網(wǎng)絡模型將網(wǎng)絡通信進程分成了不同層面——這樣讓人更易于理解，部署和調(diào)試。不管是國際標準組織制定的7層模型，或是美國國防部開發(fā)的4層模型，都能讓人更好地理解每一層面上運作的協(xié)議，對所有IP加密來說也都是必要的(包括VoIP)。

當然，在所有安全措施當中，多層次方法的效果最好。例如，你可能會為保護自己的家庭財產(chǎn)免遭盜賊毒手而實施一個多層次方法：在房子周圍豎起籬笆，并鎖上了籬笆的大門;在院子里養(yǎng)一條大狗;又在門上和窗戶上安裝防盜鎖;然后又安裝了一套防盜報警系統(tǒng);最后還把家里值錢的東西放在一個很隱秘的地方，以防萬一有人可以繞過你以上所有安全措施并偷走值錢東西。

同樣，要保護你的VoIP網(wǎng)絡，最好的方法也是采取一種多層次安全機制，在潛在入侵者的攻擊路線上盡可能多地制造各種障礙。

分離語音和數(shù)據(jù)網(wǎng)絡

要建立一個安全的VoIP網(wǎng)絡，首要的步驟就是將其從你的數(shù)據(jù)網(wǎng)絡中獨立出來。

雖然將所有網(wǎng)絡集成到一起，可能在管理的簡易性及協(xié)同工作方面更加理想，但并不安全。最好的選擇是使用VLAN交換機將數(shù)據(jù)網(wǎng)絡和語音網(wǎng)絡從邏輯上分離開來——這意味著對數(shù)據(jù)網(wǎng)絡進行的攻擊將不會影響到你的VoIP系統(tǒng)。

要將VoIP網(wǎng)絡從數(shù)據(jù)網(wǎng)絡中分離出來，首先要將分離VLAN上的VoIP話機設為非路由的地址;然后禁止連接互聯(lián)網(wǎng)的電腦與VoIP之間有任何交流;接下來還要使用存取控制列表(Access control lists)來阻止VLAN之間的通訊。

配備VoIP專用防火墻

對一個IP網(wǎng)絡來說，邊界保護通常意味著使用防火墻，但是一個老舊的防火墻是不適合VoIP網(wǎng)絡的。你需要一個特別設計的防火墻，它得能識別和分析VoIP協(xié)議，能對VoIP的數(shù)據(jù)包進行深度檢查，并能分析VoIP的有效載荷以便發(fā)現(xiàn)任何與攻擊有關的蛛絲馬跡。

如果你的VoIP部署使用了SIP協(xié)議(Session Initiation Protocol)，那么防火墻就應當能執(zhí)行下述操作：監(jiān)控進出的SIP信息，以便發(fā)現(xiàn)應用程序層次上的攻擊;支持TLS(傳輸層安全);執(zhí)行基于SIP的NAT以及介質端口管理;檢測非正常的呼叫模式;記錄SIP信息的詳情，特別是未經(jīng)授權的呼叫。

保護好VoIP網(wǎng)關

網(wǎng)關是數(shù)據(jù)進出VoIP網(wǎng)絡的關鍵點，它會同時連接不同的網(wǎng)絡，如IP網(wǎng)絡和公共電話交換網(wǎng)(PSTN)。你應當在網(wǎng)關上使用授權機制以及存取控制，以便控制可通過VoIP系統(tǒng)撥打和接聽電話，以及設定可以執(zhí)行管理任務的不同人員權限等等。

鎖閉網(wǎng)絡物理層

對一個語音網(wǎng)絡而言，限制對介質訪問以及對VoIP服務器和端點訪問非常重要。