實際上，沒有什么簡單的解決方法可以有效確保VoIP的絕對安全，不過還是有些辦法可以盡量減小風險、改進整體的安全策略。
安全問題對語音服務而言根本不是什么新鮮事。幾十年來，傳統電話系統就飽受話費欺詐之困擾。如今，一些企業出于對安全問題的擔憂而對安裝IP語音（VoIP）系統猶豫不決，而另一些企業卻在沒有解決安全問題的前提下貿然行事。大多數行業的分析師估計，今年企業新安裝的語音電話至少有一半將會是VoIP手機，這意味著你可能很快就會面臨語音安全問題，如果不正視這些問題，你的系統就會隨時遭到攻擊。
說到如何有效地確保VoIP 安全，根本沒有靈丹妙藥，但必須把這方面的安全作為整體安全策略的一部分來考慮。因為如今VoIP應用已成為IP網絡的一部分，如果IP網絡已經落實了良好的安全措施，整個網絡安全系數越高，那么攻擊者進行竊聽、發動拒絕服務（DoS）攻擊或者闖入VoIP系統中的操作系統或者應用系統的難度就會越大。
一開始就讓安全小組參與VoIP項目也非常重要。語音小組和數據小組也根本犯不著卷入地盤之爭。畢竟，現在它們應當作為一個團隊開展工作。
遵守一系列的嚴格規定
主要的VoIP安全策略很簡單: 首先，在你確保各種VoIP部件和因特網之間沒有任何通信之前，不要把這些設備接入網絡。 其次，不要允許與因特網及VoIP系統進行聯系的PC之間有任何通信。這是因為，PC特別容易受到攻擊，可能會被用來闖入VoIP系統，或者對語音應用發動拒絕服務攻擊。它們還會強行利用VoIP電話從事話費欺詐、暗中竊聽或者冒充他人等勾當。
如果你無法遵守這項策略，就要確保每個人都知道其中的風險，并且落實了相應的對策以緩解風險。這就要求清楚地知道安全、系統架構以及有關的VoIP協議。
要實施安全策略，第一步就是把所有VoIP電話放在單獨的虛擬局域網（VLAN）上，并且使用不可路由的RFC 1918地址。大多數VoIP電話都有內置的交換機，支持802.1p/Q虛擬局域網標準。這樣一來，就有可能在桌面系統和距離最近的布線室交換機之間建立虛擬局域網，而布線室交換機可以通過網絡進行延伸。
如果語音用戶的PC被接到電話的交換機上，你就可以自始至終地讓語音和數據在不同的虛擬局域網上傳輸。記住一點: 虛擬局域網無法彼此聯系，除非彼此之間有路由，所以這是確保語音和數據分開的一個辦法。你還可以使用訪問控制列表（ACL）防止虛擬局域網之間進行通信，作為保護語音的另一道安全層。讓語音和數據在不同的虛擬局域網上傳輸，還可以簡化為VoIP流量配置服務質量（QoS）。隨后只是為VoIP虛擬局域網賦予優先級的問題而已，如果你通過路由器傳輸，仍需要第三層服務質量。
服務質量通常與確保性能聯系在一起，不過它在安全方面也起到關鍵作用。在不同邏輯虛擬局域網上傳輸的語音和數據仍使用相同的物理帶寬。這意味著，即便PC被病毒或者蠕蟲感染、這些PC進而向網絡發送大批流量，VoIP流量仍能夠在共同的物理帶寬上獲得優先權，因而就不會淪為拒絕服務攻擊的受害者。與此同時，ACL和防火墻可以阻止VoIP系統訪問因特網，反之亦然。
虛擬局域網還可以緩解有人竊聽電話的現象。如果語音包被人用分析儀獲取，重放語音就輕而易舉。IP具有的移動性和靈活性使得它容易受到“中間人攻擊”，即地址解析協議（ARP）被用來強制流量通過某臺PC傳輸，然后就能獲取這些流量。虛擬局域網可以阻止有人從外面發動攻擊，但內部攻擊比較難以預防。內部人只要把某臺PC接入墻上的插座，對PC進行配置，成為VoIP虛擬局域網的一部分，就可以發動攻擊。要防止這種破壞，最好的辦法就是購買具有強加密功能的VoIP電話，而這種方法要奏效，每只電話都要有加密功能。
你還需要在電話和通向公共交換電話網絡（PSTN）的網關之間進行加密。如今VoIP電話廠商開始把媒體加密和信令加密功能融入各自的設備當中。譬如說，Avaya聲稱它的所有電話現在都支持加密功能; 而北電網絡公司聲稱，它的電話很快也具有同樣的功能。加密還可以挫敗需要對基礎設施獲得物理訪問權的其他類型的竊聽，譬如利用交換機的端口鏡像，或者利用以太網接頭接入某條以太網連接線。
當然，加密以增加時延為代價。這對普通局域網來說不成問題，但對廣域網來說可能會成問題。要考慮的另一個因素就是，如果對電話之間傳輸的信號進行加密（這在應用層實現），工作在應用層的防火墻就很難對加密信號進行解密。
雖然防火墻必不可少，但別以為它們能夠勝任各項工作。VoIP協議很難過濾。盡管會話初始化協議（SIP）是VoIP信號傳輸標準，但許多廠商采用的卻是專有的信令協議，而防火墻必須理解這些協議。
實時協議（RTP）用于傳輸實際的語音媒體，不過有一系列眾多的端口動態分配給了每路呼叫。信令協議會表明應使用哪個RTP端口用于某路呼叫。一款好的防火墻會從信令協議處接到該指示，隨后開啟某個端點的IP地址所必需的那個端口。然而，不是所有的防火墻都具有這種功能。有些只是開啟某段范圍的端口，所以要確保你對防火墻的運行情況了如指掌。
有些防火墻必須處理專用地址和網絡地址轉換（NAT），這樣一來，保護VoIP的安全難度就更大了，如果處理的請求是針對采用專用地址的某個端點，更是如此。了解信令協議的防火墻能跟蹤用戶注冊登記的最新地址，然后相應地為請求安排路由。Check Point軟件技術公司聲稱，其最新款的FireWall-1具有這種功能，可以提供最低程度的安全接入。
另一個辦法就是把防火墻放置在專門為IP語音設計的VoIP系統前面。譬如說，Ingate公司的防火墻就是為基于SIP的VoIP系統而設計。Ingate最近宣布，如今其產品已通過了認證，能夠與Avaya公司的基于SIP的產品協同工作。確保你實施的VoIP系統基于SIP，那樣以后需要安全選項功能時不至于只能求助于你現有的VoIP廠商。
另外還要當心，防火墻可能會帶來時延，從而成為性能方面的一個瓶頸。
支持VoIP的服務器每個都有各自的操作系統，而這些操作系統又存在許多相關漏洞，所以你必須確保把服務器放到你的網絡上之前，它們都已打上了補丁。注意時時打上最新補丁，還要認真限制對它們的訪問。每個IP電話其實也是一臺電腦，有著自己的應用軟件和操作系統，所以對你的電話也要采取同樣的防范措施，并確保電話帶有良好的補丁管理系統。
一些例外情況
有些應用可能會讓你考慮打開語音虛擬局域網和數據虛擬局域網之間的通信通道。譬如說，大多數VoIP廠商提供的桌面客戶系統能夠管理VoIP電話，并且提供豐富的用戶狀態信息。許多廠商提供的客戶端還可以讓你監控其他系統用戶的電話和即時通信（IM）狀態，并且發布你自己的狀態信息。這些特性需要桌面系統和VoIP系統之間進行一定的直接聯系，所以你要想辦法安全地實現這項功能。
說到這里，使用防火墻最為穩妥。做法是，提供最低程度的接入權限，不允許PC在無意中成為用來搜尋VoIP系統中存在漏洞的平臺。但如果蠕蟲占用了網絡上的大量帶寬，PC和布線室之間的連接上所用的這些應用就無法得到保護，因為數據來自PC，因而會在數據虛擬局域網上傳輸。不過好消息是，VoIP電話的通信將得到保護，只要你實施了服務質量。但如果你在PC上使用的僅僅是軟電話，就沒有辦法為PC和布線室交換機之間的語音包提供服務質量。
如果你的遠程辦公人員要通過因特網訪問IP PBX，虛擬專用網（VPN）顯然是防止竊聽的解決辦法。Zultys科技公司等VoIP廠商提供的產品旨在便于通過VPN訪問IP PBX。Zultys的有些電話可以直接在電話到PBX之間建立一條VPN隧道。北電公司的Contivity VPN PC客戶機則可以通過連接的PC，為其電話建立VPN隧道。
你最不希望把IP PBX暴露于因特網面前。如果你提供只能訪問相關端口的功能，而且通過VPN進行驗證，那么就可以盡量減小這個風險。當然，你還會希望在IP PBX和VPN網關之間安裝一只防火墻，只允許訪問被認為絕對有必要的端口。
另外，也很有必要落實相應機制，以保護你的VoIP系統免受針對應用的拒絕服務攻擊。如果需要從虛擬局域網進行額外的一道驗證，應當不會面臨來自外部的重大危害; 但如果有人獲得了訪問權，從內部發動攻擊可能會是個問題。譬如說，利用SIP，發送大量的“注冊”請求會導致服務器無力處理請求。入侵防護系統（IPS）可以緩解這個問題，而如果IPS或者入侵檢測系統（IDS）能理解SIP，就可以檢測這些攻擊。一款好的IPS還能夠防止基于SIP的中間人攻擊，以免通過另一個設備改變流量傳輸方向。
可以訪問VoIP系統的任何桌面系統都必須加以保護。如今許多廠商提供集中管理的防火墻以及可以檢查操作系統補丁及病毒更新狀況的軟件。這對使用IP軟電話的遠程辦公人員來說尤為重要。
所以不要被VoIP安全問題捆住了手腳。有了可靠的IP語音安全策略以及合理搭配的安全工具，沒有理由錯過VoIP具有的諸多優點。
