Рекомендации по безопасной настройке носят общий характер и подходят для большинства инсталляций. Настоящие рекомендации в значительной степени повышают безопасность эксплуатации устройства, но не являются исчерпывающими. В зависимости от схемы применения устройства необходимо настраивать и другие параметры безопасности. В некоторых специфических случаях выполнение данных рекомендаций может привести к неработоспособности сети. При настройке устройства стоит в первую очередь следовать техническим требованиям и регламентам сетей, в которых будет эксплуатироваться данное устройство.

Telnet -  небезопасный протокол.
В Ubuntu действует политика "не открывать порты", которая распространяется на установку по умолчанию. Небезопасный протокол telnet по умолчанию не включен на сервере Ubuntu.
Не рекомендуется устанавливать telnet на серверах ECSS .

В Ubuntu по умолчанию telnet выключен , так как не является безопасным протоколом. Не рекомендуется включать его.

sudo passwd -l root

PasswordAuthentication no
ChallengeResponseAuthentication no

sudo ssh-keygen -t rsa -b 4096 -f /etc/ssh/ssh_host_rsa_key
sudo ssh-keygen -o -a 100 -t ed25519 -f /etc/ssh/ssh_host_ed25519_key

/domain/test_domain/sip/user/declare default_routing sip 42002 alias-as-user qop_authentication common_login 42002 auto-generation 
Executed on the sip1@ecss1
Intermediate (incomplete) result:
Declaration for range: 42002@test_domain..42002@test_domain (1)
...
1 interfaces check for existing ...
[**********************************************************************] 70mks    
1 users interfaces declaration ...
[**********************************************************************] 25ms     
1 users divided into 1 parts to declare ...
[**********************************************************************] 60mks    
1 users aliases declaration ...
[**********************************************************************] 4ms      
1 users trying licence packages activating ...
[**********************************************************************] 2ms      
8 interfaces recall to base
[**********************************************************************] 3ms      
Executed on the sip1@ecss1
┌────────────────────────┐
│ declared 1 subscribers │
└────────────────────────┘

/domain/test_domain/sip/user/info sip 42002@test_domain
. . .
┌─────────────────────┬───────────────────────────────────────────┐
│        User         │             42002@test_domain             │
├─────────────────────┼───────────────────────────────────────────┤
│internal iface name  │06d48c3938a30f5d                           │
│isActive             │false                                      │
│group                │sip                                        │
│authentication       │42002:VmaifqfMais5 (ds) use qop: true      │
. . .

%% File autogenerate.
%% For change, remove it and run: dpkg-reconfigure 
[
    {ecss_env, [
        {config_root,   "/etc/ecss"},
        {data_root,     "/var/lib/ecss"},
        {log_root,      "/var/log/ecss"}
        ]},
    {rps, [
        {thresholds, [
            {disk, [
                {enabled, true},
                {points, ["/var/lib/mysql"]}
                ]}
            ]},
        {monitoring, [
            %{applications, [%%APPS_MON%%]}
            %{interfaces, [{noAlarmFor, [%%IFACES_MON%%]}]}
            ]}
        ]},
    {chronica, [
        {tty_enabled, true} %applyed for journald
        ]},
    {cocon, [
        % ms, delay for node in cluster group
        {heartbeat, 3000},
        % name of amqp exchange
        {exchange, "ccn.direct"},
        % Type DB storage for user authentication (ldap, mysql, undefined)
        %% default: mysql
        {user_data, 'mysql'},
        % Type DB for audit data (ldap, mysql, undefined)
        %% default: mysql
        {audit, 'mysql'},

        %%%% Settings LDAP (not required)
        %% ldap ip
        {ldap_server_ip, "cocon.ldap.ecss"},
        %% ldap port
        {ldap_server_port, "389"},
        %% DN for storage users
        {ldap_people_dn, "ou=people,dc=ecss"},
        %% DN for storage groups
        {ldap_groups_dn, "ou=groups,dc=ecss"},
        %% DN for storage events
        {ldap_audit_dn, "ou=audit,dc=ecss"},
        %% DN for ldap usages (audit, etc)
        {ldap_system_username, "cn=admin,dc=ecss"},
        {ldap_system_password, "admin"},

        %%%% Settings MySQL (not required)
        %% MySQL ip
        {mysql_server_ip, "cocon.mysql.ecss"},
        %% MySQL port
        %% default: undefined
        {mysql_server_port, "3306"},
        {mysql_username, "audit"},
        {mysql_password, "audit"},
        % Usage BD
        {mysql_db, "ecss_audit"},

        % Time (in UTC) for every day cleaning audit data
        {audit_clean_time, {2, 0, 0}},
        % Count of date for save audit data
        {audit_save_days, 90},
        {mount_cmd, "/etc/ecss/ssh_command"},
        %% Password expire lifetime (infinity or days count)
        {password_lifetime, infinity},
        %% Allow reuse of old CoCon passwords
        {allow_passwords_reuse, true},
        %% Maximum size of password history
        {password_history_depth, 10},
        % Security restrictions for CoCon's users' password
        {password_restrictions, [
            % Minimum password length (digit or unlimited)
            {min_length, unlimited},
            % Maximum password length (digit or unlimited)
            {max_length, unlimited},
            % Digits symbol required [0..9]
            {digits_required, false},
            % Special characters required: ( !"#$%&'()*+,-./:;<=>?@[\]^_`{|}~)
            {special_characters_required, false},
            % Latin letter at uppercase special_characters_required [A..Z]
            {uppercase_letters_required, false},
            % Latin letter at lowercase special_characters_required [a..z]
            {lowercase_letters_required, false},
            % National (other unicode) characters allowed or not
            {national_characters_not_allowed, false},
            % List of prohibited passwords
            {banned_passwords, []}
         ]}
        ]},
    {ecss_mgmt, [
        {os_cmd, [
            {host_shell, "trap 'echo INTERRUPTED' SIGINT; ssh localhost"}
        ]}
    ]}
].

. . .   

        % Security restrictions for CoCon's users' password
        {password_restrictions, [
            % Minimum password length (digit or unlimited)
            {min_length, 8},
            % Maximum password length (digit or unlimited)
            {max_length, 14},
            % Digits symbol required [0..9]
            {digits_required, true},
            % Special characters required: ( !"#$%&'()*+,-./:;<=>?@[\]^_`{|}~)
            {special_characters_required,true},
            % Latin letter at uppercase special_characters_required [A..Z]
            {uppercase_letters_required,true},
            % Latin letter at lowercase special_characters_required [a..z]
            {lowercase_letters_required,true},
            % National (other unicode) characters allowed or not
            {national_characters_not_allowed, false},
            % List of prohibited passwords
            {banned_passwords, []}
         ]}

 . . .

sudo systemctl stop ecss-mediator.service
sudo systemctl stop ecss-pa-sip.service
sudo systemctl stop ecss-core.service
sudo systemctl stop ecss-ds.service
sudo systemctl stop ecss-mycelium.service

sudo systemctl start ecss-mycelium.service
sudo systemctl start ecss-ds.service
sudo systemctl start ecss-core.service
sudo systemctl start ecss-pa-sip.service
sudo systemctl start ecss-mediator.service

/cocon/passwd admin

cocon/passwd admin              
[passwd] Changing password for admin
Enter new password: 
Confirm new password: 
Password for user "admin" has been successfully changed

/cocon/add-user test              
Enter password: 
Confirm password: 
ECSS global user: [n]/y ?> y
ECSS global administrator: [n]/y ?> y
User test has been successfully created

/cocon/list users                 
┌───────┬─────────────────────────────────────────┬─────┐
│ Login │                 Groups                  │Roles│
├───────┼─────────────────────────────────────────┼─────┤
│test   │ecss-admin                               │     │
│       │ecss-test_domain-domain-admin            │     │
│       │ecss-test_domain-domain-user             │     │
│       │ecss-user                                │     │
│support│ecss-admin                               │     │
│       │ecss-user                                │     │
│admin  │ecss-admin                               │     │
│       │ecss-test_domain-domain-admin            │     │
│       │ecss-test_domain-domain-user             │     │
│       │ecss-user                                │     │
│abf    │ecss-admin                               │     │
│       │ecss-pcap                                │     │
│       │ecss-subscriber-portal                   │     │
│       │ecss-test_domain-domain-admin            │     │
│       │ecss-test_domain-domain-subscriber-portal│     │
│       │ecss-test_domain-domain-user             │     │
│       │ecss-user                                │     │
└───────┴─────────────────────────────────────────┴─────┘

1. Открыть приложение "Управление пользователями";
2. Выбрать "Добавить";
3. Указать Имя нового пользователя/Пароль нового пользователя/Подтвердить пароль;
4. Выбрать какие разрешения предоставить новому пользователю и для каких доменов;
5. Создать;
6. Сохранить.

sudo nano /etc/ecss/global.config

. . .
        %%%% Settings MySQL (not required)
        %% MySQL ip
        {mysql_server_ip, "cocon.mysql.ecss"},
        %% MySQL port
        %% default: undefined
        {mysql_server_port, "3306"},
        {mysql_username, "audit"},
        {mysql_password, "audit!1"},
        % Usage BD
        {mysql_db, "ecss_audit"},

 . . .

sudo systemctl restart ecss-mediator.service

sudo systemctl restart ecss-mycelium.service

sudo systemctl restart ecss-core.service

sudo systemctl restart ecss-ds.service

sudo dpkg-reconfigure ecss-teleconference-ui

sudo dpkg-reconfigure ecss-cc-ui

sudo nano /opt/elph-chat-server/stable/.elph-chat.env

. . .

# Параметры подключения к ecss-mysql (БД meeting-db - для работы чатов телеконференций)
ECSS_MEETING_DB_HOST="${ELPH_SSW}"
ECSS_MEETING_DB_PORT=3306
ECSS_MEETING_DB_NAME=ecss_meeting_db
ECSS_MEETING_DB_USER=ecss_meeting_db
ECSS_MEETING_DB_PASS=ecss_meeting_db#3

ECSS_ADDRESSBOOK_DB_NAME=ecss_address_book
ECSS_ADDRESSBOOK_DB_PASSWORD=address_book@2
ECSS_ADDRESSBOOK_DB_USER=address_book

. . .

sudo nano /opt/ecss-call-history/unstable/.env

. . .

#####################################################
# External endpoints
#####################################################
# ecss-meeting DB
ECSS_MEETING_DB_HOST="192.168.107.108"
ECSS_MEETING_DB_PORT=3306
ECSS_MEETING_DB_NAME=ecss_meeting_db
ECSS_MEETING_DB_USER=ecss_meeting_db
ECSS_MEETING_DB_PASS=ecss_meeting_db%5
# ecss-calls DB
ECSS_CALLS_DB_HOST="192.168.107.108"
ECSS_CALLS_DB_PORT=3306
ECSS_CALLS_DB_NAME=ecss_calls_db
ECSS_CALLS_DB_USER=calls_db
ECSS_CALLS_DB_PASS=calls_db^6
ECSS_CALLS_DB_TIMEZONE=+07:00
# ecss-addressbook DB
ECSS_ADDRESS_BOOK_DB_HOST="192.168.107.108"
ECSS_ADDRESS_BOOK_DB_PORT=3306
ECSS_ADDRESS_BOOK_DB_NAME=ecss_address_book
ECSS_ADDRESS_BOOK_DB_USER=address_book
ECSS_ADDRESS_BOOK_DB_PASS=address_book@2

#####################################################

. . .

 /opt/elph-chat-server/stable/.ecss-elph-chat-server.sh up

/opt/elph-chat-server/stable/.ecss-call-history.sh up

sudo nano /usr/share/ecss/ecss-web-conf/settings.py

. . .

_DEB_DB_NAME = 'ecss_web_conf'
_DEB_USER = 'postgres'
_DEB_PASS = 'postgres1'
_DEB_HOST = '127.0.0.1'
_DEB_PORT = '5439'
_DEB_POOL_SIZE = '10'

. . .

sudo dpkg-reconfigure ecss-web-conf

KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256

Host * 
    KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha25

cd /etc/ssh
rm ssh_host_*key*

sudo ssh-keygen -t rsa -b 4096 -f /etc/ssh/ssh_host_rsa_key
sudo ssh-keygen -o -a 100 -t ed25519 -f /etc/ssh/ssh_host_ed25519_key

Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,chacha20-poly1305@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr

Host * 
    Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,chacha20-poly1305@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr

MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com

Host *
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com

AllowUsers dmitry support 

ListenAddress 192.168.1.21
ListenAddress 10.16.33.5

Port 22025

sshd -t

sshd -T