نصب ایزابل (Issabel) روی سرور مجازی؛ سانترال بدون سخت‌افزار

نصب ایزابل روی سرور مجازی یعنی سانترال شرکت را روی یک ماشین لینوکسی در دیتاسنتر بالا بیاورید، بدون خرید دستگاه. ایزابل 5 یک توزیع آماده روی خانواده Rocky Linux 8 است و Asterisk را با پنل وب مدیریت می‌آورد. دو مسیر رسمی دارد: بوت فایل ISO، یا اسکریپت netinstall روی سیستم‌عامل آماده.

موضوع	وضعیت در ایزابل 5
فایل نصب رسمی	فایل issabel5-USB-DVD-x86_64-20261021.iso، ۲۲ اکتبر ۲۰۲۶
سیستم‌عامل پایه	خانواده Rocky Linux 8؛ مستندات رسمی، نصب روی Rocky Linux 8.9 را نشان می‌دهد
نسخه Asterisk	در نصب‌کننده انتخاب می‌کنید: 16، 18 (پیش‌فرض) یا 20
مسیر دوم نصب	اسکریپت issabel5-netinstall.sh روی سیستم‌عامل آماده
وضعیت پس از نصب	اسکریپت، SELinux و firewalld را خاموش و فقط 443/tcp را باز می‌گذارد

ترتیب این راهنما همان ترتیبی است که روی یک سرور خالی طی می‌کنید. اول منابع و سیستم‌عامل. بعد نصب، با یکی از دو مسیر رسمی. سپس داخلی و ترانک. و آخر، بستن سروری که نصب‌کننده باز گذاشته است.

پیش‌نیازهای نصب ایزابل روی سرور مجازی؛ منابع و سیستم‌عامل

سه چیز را پیش از زدن دکمه نصب روشن کنید: منابع سرور بر اساس تعداد تماس همزمان، سیستم‌عاملی از خانواده Rocky Linux 8، و دسترسی‌هایی مثل کنسول VNC و IP مستقیم. ایزابل عدد رسمی حداقل منابع را منتشر نکرده، پس اعداد این بخش نقطه شروع عملی هستند.

ایزابل چه نسبتی با Asterisk دارد

ایزابل یک سیستم ارتباطات یکپارچه متن‌باز روی Asterisk است. بخش مدیریت سانترال آن، IssabelPBX، بر پایه FreePBX است و FreePBX از پروژه AMP جدا شده که در سال ۲۰۰۴ منتشر شد؛ این را مخزن رسمی پروژه می‌گوید.

در عمل یعنی هر چه در پنل تعریف کنید به فایل‌های Asterisk تبدیل می‌شود. اگر مفاهیم پایه تازه است، معرفی سرور VoIP و تلفن تحت شبکه را ببینید.

منابع لازم بر اساس تعداد تماس همزمان

منابع را تعداد تماس همزمان تعیین می‌کند، نه تعداد کاربر. یک شرکت سی‌نفره ممکن است در اوج روز هشت تماس همزمان داشته باشد. دو عامل دیگر هم پردازنده را درگیر می‌کند: تبدیل کدک و رمزنگاری.

تماس همزمان	نقطه شروع پیشنهادی	نکته
تا ۱۰	۲ هسته، ۴ گیگابایت رم، ۲۰ گیگابایت	با کدک مشترک، تبدیل کدک انجام نمی‌شود
۱۰ تا ۳۰	۴ هسته، ۴ تا ۸ گیگابایت رم، ۴۰ گیگابایت	ضبط مکالمه دیسک را سریع پر می‌کند
بیش از ۳۰	۸ هسته، ۸ گیگابایت رم، دیسک جدا برای ضبط	تبدیل کدک و رمزنگاری، پردازنده را چند برابر می‌خواهد

دسترسی‌هایی که روی سرور باید داشته باشید

• کنسول گرافیکی مثل VNC، برای بوت ISO؛ بدون آن مسیر ISO بسته است.
• یک IP مستقیم در دسترس از اینترنت بین‌الملل، اگر ترانک یا تلفن کاربران بیرون از شبکه داخلی است.
• دسترسی root روی SSH، و اختیار باز و بسته کردن پورت SIP و بازه RTP.

پورت 5060 را استاندارد SIP در سند RFC 3261 تعریف کرده است. بازه RTP را اما از فایل rtp.conf خود سرور بخوانید و همان را در فایروال باز کنید. بیشترِ وقتی که صرف عیب‌یابی «تماس وصل می‌شود ولی صدا نمی‌آید» می‌شود، سر همین یک قلم است.

نصب قدم‌به‌قدم؛ از ISO رسمی تا اسکریپت netinstall

دو مسیر رسمی وجود دارد. اول بوت فایل ISO ایزابل 5 از کنسول VNC، که نصب‌کننده سیستم‌عامل را هم می‌آورد. دوم اجرای اسکریپت issabel5-netinstall.sh روی Rocky Linux 8 نصب‌شده. روی ماشین مجازی، مسیر دوم کوتاه‌تر و قابل تکرارتر است.

مسیر اول: بوت فایل ISO رسمی از کنسول

فایل ISO و اسکریپت نصب در پروژه رسمی ایزابل روی SourceForge منتشر می‌شوند. در پوشه نسخه 5 ایزابل، آخرین فایل در زمان نگارش issabel5-USB-DVD-x86_64-20261021.iso است. پیش از دانلود، نام فایل را با همان صفحه مقایسه کنید.

1. فایل ISO را در پنل سرور به ماشین وصل کنید و از کنسول روی همان بوت کنید.
2. زبان، لایه‌بندی دیسک، نام میزبان و شبکه را تنظیم و رمز root را بگذارید؛ این قدم دیسک را از نو می‌چیند، پس فقط روی سرور خالی.
3. پس از ریبوت، نصب‌کننده رمزهای مدیریتی را می‌خواهد.
4. پنل وب را با نشانی https و IP سرور باز کنید؛ گواهی self-signed است و هشدار مرورگر طبیعی.

مستندات رسمی ایزابل سیستم پایه را Rocky Linux 8.9 نشان می‌دهد و تأکید می‌کند پیش از نصب ماژول مرکز تماس باید سانترالی کارکرددار روی سروری در دسترس شبکه داشته باشید.

مسیر دوم: نصب ایزابل روی سرور مجازی با اسکریپت netinstall

اول Rocky Linux 8 را از پنل سرور نصب و بعد اسکریپت رسمی را اجرا می‌کنید. مزیتش این است که اگر چیزی خراب شد، بازگشت به اسنپ‌شات یک دقیقه است.

# Rocky Linux 8, as root. فقط روی سیستم‌عامل تازه‌نصب
# اسکریپت /etc/issabel.conf را حذف و در پایان بدون پرسش ریبوت می‌کند
dnf -y install wget dialog
wget -O /root/issabel5-netinstall.sh \
  "https://sourceforge.net/projects/issabelpbx/files/Issabel%205/issabel5-netinstall.sh/download"
less /root/issabel5-netinstall.sh   # ایزابل چک‌سام نمی‌دهد؛ دست‌کم یک بار بخوانید
bash /root/issabel5-netinstall.sh

اسکریپت یک رابط متنی باز می‌کند. فهرست زیر از خواندن خود فایل اسکریپت نسخه 5 درآمده است:

• فایل مخزن را می‌نویسد؛ بسته‌ها از فهرست میرور mirror.issabel.org می‌آید.
• نسخه Asterisk را می‌پرسد: 16، 18 یا 20، با پیش‌فرض 18، و بسته‌های اختیاری را پیشنهاد می‌دهد؛ یکی فهرست بلادرنگ انجمن برای بستن حمله‌های SIP از نشانی‌های شناخته‌شده است.
• مخزن remi را نصب و PHP را روی 7.4 و مخزن‌های powertools و devel را فعال می‌کند، بعد httpd و MariaDB و Asterisk و افزونه‌های ایزابل و زبان فارسی را می‌آورد.
• در پایان ابزار issabel-admin-passwords را اجرا و سرور را ریبوت می‌کند.

در انتخاب نسخه Asterisk دقت کنید: افزونه‌های جانبی فقط با بخشی از نسخه‌ها آزمایش شده‌اند.

کارهایی که اسکریپت رسمی به عهده شما می‌گذارد

دو مورد دیگر هم هست. اسکریپت رمز کاربر root پایگاه داده MariaDB را در پایان خالی رها می‌کند، پس خودتان رمز قوی بگذارید. و بسته‌ها را با سوئیچ –nogpg و از مخزنی با gpgcheck=0 و نشانی‌های http نصب می‌کند، یعنی امضا بررسی نمی‌شود؛ روی شبکه مطمئن نصب کنید و بعد gpgcheck را برگردانید.

تغییر پورت پیش‌فرض SSH هم حمله‌های خودکار را کم می‌کند و روشش در آموزش تغییر پورت SSH در سرور مجازی آمده؛ جای فایروال را نمی‌گیرد.

تعریف داخلی، ترانک SIP و صف تماس در پنل ایزابل

سه عنصر یک سانترال را کاربردی می‌کنند: داخلی برای هر کاربر، ترانک برای خط بیرون، و مسیر خروجی که تعیین می‌کند کدام الگوی شماره از کدام ترانک برود. هر سه در بخش PBX هستند.

تا این مرحله نصب ایزابل روی سرور مجازی تمام شده است. از این نقطه کار شما پیکربندی است و بیشتر تصمیم‌ها به ارائه‌دهنده ترانک برمی‌گردد.

تعریف داخلی و اتصال نرم‌افزار تلفن

در پنل به PBX و Extensions بروید. هر داخلی یک شماره و یک رمز دارد؛ رمز را با تولیدکننده رمز بسازید، برای هر داخلی متفاوت بگذارید و بیرون از پنل نگه ندارید.

برای تست، نرم‌افزار تلفن را با سه مقدار تنظیم کنید: شماره داخلی، رمز آن و نشانی سرور. اگر داخلی ثبت شد ولی تماس بی‌صدا بود، ریشه تقریباً همیشه بازه RTP فایروال است.

ترانک SIP و مسیر خروجی

ترانک، اتصال سانترال به شبکه تلفن است و مقدارهایش را ارائه‌دهنده می‌دهد: نشانی میزبان، پورت، نام کاربری و رشته ثبت.

بعد مسیر خروجی را بسازید: یک الگوی شماره و ترانکی که از آن خارج می‌شود. مسیر ورودی همین منطق را دارد و مقصد تماس ورودی را تعیین می‌کند.

صف تماس، گروه زنگ و منوی گویا

نوع مقصد	رفتار	کجا به کار می‌آید
گروه زنگ	داخلی‌ها با هم یا به نوبت زنگ می‌خورند	تیم کوچک با یک نقش مشترک
صف تماس	تماس‌گیرنده در نوبت می‌ماند تا اپراتور آزاد شود	پشتیبانی با حجم تماس بالا
منوی گویا	تماس‌گیرنده با کلید، مقصد را انتخاب می‌کند	شرکت با چند دپارتمان

امنیت SIP و جلوگیری از سوءاستفاده از خط

بخش ملاحظات امنیتی مستندات Asterisk هشدار می‌دهد پیکربندی نادرست می‌تواند اجازه استفاده غیرمجاز از امکانات شما را بدهد و هزینه سنگین بیاورد. چون نصب‌کننده ایزابل فایروال میزبان را خاموش می‌کند، اولین کار بستن دسترسی شبکه است.

در نصب ایزابل روی سرور مجازی، فایروال جزئی از خود نصب است و باید دستی برگردد. دو لایه را هم‌زمان نگه دارید: لایه شبکه که تعیین می‌کند چه کسی به سرور می‌رسد، و لایه طرح شماره‌گیری که مرز هر تماس را می‌گذارد.

فایروال: دسترسی را به نشانی‌های شناخته‌شده محدود کنید

دو zone بسازید، نه یکی. یکی برای مدیران با سرویس‌های ssh و https. یکی هم برای ارائه‌دهنده ترانک و دفترها، با پورت SIP و بازه RTP. در مستندات firewalld «یک اتصال فقط می‌تواند عضو یک zone باشد». پس بی ssh در zone مدیران، همان IP دیگر به zone عمومی نمی‌رسد. راهنمای firewalld راکی لینوکس هم می‌گوید تا دسترسی جایگزین به شل ندارید، ssh را از دسترس خارج نکنید.

# Rocky Linux 8 / firewalld. اول همین خطوط را بدون permanent تست کنید
# zone مدیران: پنل و SSH، فقط از نشانی ثابت دفتر
firewall-cmd --permanent --new-zone=pbx-admin
firewall-cmd --permanent --zone=pbx-admin --add-source=198.51.100.25
firewall-cmd --permanent --zone=pbx-admin --add-service=ssh --add-service=https
# zone ترانک و داخلی‌ها: سیگنال و صدا، بدون دسترسی به پنل
firewall-cmd --permanent --new-zone=pbx-sip
firewall-cmd --permanent --zone=pbx-sip --add-source=198.51.100.70
firewall-cmd --permanent --zone=pbx-sip --add-port=5060/udp
# بازه واقعی: grep -E '^rtp(start|end)' /etc/asterisk/rtp.conf
firewall-cmd --permanent --zone=pbx-sip --add-port=10000-20000/udp
# نصب‌کننده 443 را از نوع port گذاشته بود، نه service
firewall-cmd --permanent --zone=public --remove-port=443/tcp
firewall-cmd --permanent --zone=public --remove-service=https
systemctl enable --now firewalld
firewall-cmd --reload
# تست: 443/tcp نباید در خروجی بماند
firewall-cmd --zone=public --list-ports
firewall-cmd --zone=pbx-admin --list-all

دو خط بستن zone عمومی را جا نیندازید. نصب‌کننده 443 را به‌صورت ورودی port گذاشته، نه سرویس، و در مستندات firewall-cmd این دو گزینه و فهرست جدا دارند؛ پس برداشتن سرویس https پورت را حذف نمی‌کند و پنل باز می‌ماند. با –list-ports بررسی کنید 443/tcp نمانده باشد.

• ارائه‌دهنده ترانک را در zone خودش نگه دارید تا به پنل دسترسی نداشته باشد.
• بازه RTP را از فایل rtp.conf سرور بخوانید و همان را، نه یک بازه حدسی، باز کنید.
• برای کارمند دورکار با IP متغیر، به‌جای باز کردن پورت برای همه، همان داخلی را با permit و deny سمت Asterisk محدود کنید و سیگنال را روی TLS ببرید.

جداسازی کانتکست‌ها؛ قاعده‌ای که جلوی سوءاستفاده از خط را می‌گیرد

مستندات طرح شماره‌گیری Asterisk قاعده صریحی دارد: از کانتکست‌ها برای جدا کردن سرویس‌های خروجی و پرهزینه از هر اتصال ورودی استفاده کنید. فرض پایه این است که هر کانالی وارد یک کانتکست شود، به همه شماره‌های آن دسترسی دارد.

• سرویس‌های خروجی و پرهزینه را هرگز در کانتکست default نگذارید؛ مؤثرترین کار در برابر سوءاستفاده از خط همین است.
• کانتکست demo را از default بردارید؛ مستندات می‌گوید این اقدام امنیتی نیست، اما کاربر راه دور را دلسرد می‌کند.
• اگر شماره‌های default باید در کانتکست خصوصی هم باشند، با include وارد کنید.

ساختار نمونه مستندات امنیت طرح شماره‌گیری Asterisk سه لایه دارد. کانتکست تماس راه دور، کانتکست محلی را include می‌کند. کانتکست محلی، default را include می‌کند. و در default فقط یک شماره داخلی می‌ماند. منطق را روی سازمان خودتان پیاده کنید: داخلی انبار به تماس بین‌الملل نیازی ندارد.

درباره SELinux هم تصمیم بگیرید. ایزابل سیاست پشتیبانی‌شده‌ای منتشر نکرده، پس روشن کردنش بدون تست، ریسک از کار افتادن سرویس دارد؛ یا خاموش بماند و در عوض فایروال و فهرست بلادرنگ انجمن را جدی بگیرید، یا اول حالت permissive را روی سرور آزمایشی بسنجید.

پایش: چه چیزی را هر هفته نگاه کنید

سوءاستفاده از خط نشانه بیرونی ندارد و فقط از گزارش تماس‌ها پیدا می‌شود. سه نشانه را دنبال کنید و برای هر کدام واکنشی از پیش تعیین‌شده داشته باشید.

نشانه در گزارش تماس	معنای احتمالی	واکنش
تماس خروجی در ساعت تعطیل	استفاده غیرمجاز از یک داخلی	داخلی را غیرفعال و رمزش را عوض کنید
تکرار تماس به یک مقصد ناآشنا	کسی به مقصد گران زنگ می‌زند تا هزینه‌اش را به شما تحمیل کند	آن الگو را در مسیر خروجی ببندید
جهش ناگهانی تماس همزمان	کسی تماس‌هایش را از سانترال شما عبور می‌دهد	ترانک را ببندید و لاگ ثبت‌های ناموفق را ببینید

سقف هزینه روی ترانک سریع‌ترین راه متوقف کردن خسارت است، اما وجودش به ارائه‌دهنده بستگی دارد. اگر نمی‌دهد، الگوی شماره مسیر خروجی را سخت‌گیرانه‌تر ببندید.

پرسش‌های پرتکرار پیش از نصب و روزهای اول:

جمع‌بندی؛ از سرور خالی تا سانترال امن نصب ایزابل روی سرور مجازی سه کار پشت سر هم است. اول منابع و سیستم‌عامل: خانواده Rocky Linux 8، و منابعی که تعداد تماس همزمان تعیین می‌کند، نه تعداد کارمند. دوم خود نصب، با دو مسیر رسمی؛ مسیر ISO نسخه 5 از کنسول گرافیکی بوت می‌شود و اسکریپت netinstall روی سیستم‌عامل آماده اجرا می‌شود. سوم، و مهم‌تر از دو مورد قبل، کاری که نصب‌کننده به عهده شما گذاشته. اسکریپت SELinux و firewalld را خاموش می‌کند، پس سرور تا وقتی فایروال را برنگردانید باز است. و حواستان به یک تله باشد: نصب‌کننده 443 را به‌صورت ورودی port باز کرده، پس برداشتن سرویس https آن را نمی‌بندد. بعد از آن پنل و سیگنال را در دو zone جدا محدود کنید و سرویس‌های خروجی را از کانتکست default بیرون بیاورید.

اگر سوالی داشتید، در بخش نظرات با ما در ارتباط باشید.

منابع

• پوشه رسمی ایزابل 5 در SourceForge
• مستندات رسمی ایزابل
• تفکیک port از service در مستندات firewall-cmd
• امنیت طرح شماره‌گیری Asterisk
• راهنمای firewalld راکی لینوکس