PF 2.4.4 проброс портов для voIP (ip-ip) проблема

[Konstanti]

@alex82 посмотреть бы логи внешнего тел. Я на 99 проц уверен, что внутренний тел ему сообщил свой внутренний ip, поэтому внешний тел и шлёт rtp трафик на этот адрес.

[alex82]

Мысль интересная, только почему в разных ситуациях по разному происходит, когда то внешний ip сообщается, когда то внутренний, причем это зависит почему то получается от роутера ) потому что телефоны одни и те же, только роутеры в разных местах разные )
А как тогда выходить из этой ситуации?

[alex82]

А ещё знаете какой момент, когда мы пробовали открывать все порты для любых ip, то мы сразу видим кучу всяких разных ip на нашем внутреннем и там где порты фигурируют от 80 до 60 тыс +
получается все пропускает.
Но все описанное мной выше вносить кучу непоняток )

[Konstanti]

@alex82 я бы покопался в настройках внутр телефона, есть ли там галочка про нат и stun, ice и прочее. Многие делают проще, поднимают openvpn туннель и пускают voip трафик через него. А почему нельзя пускать трафик через Астериск, он точно умеет общаться правильно с внешними клиентами?

[alex82]

Да это да, я тоже за vpn и другие нормальные варианты. Но вот тут у нас упёрлись и говорят надо сделать чтобы так тоже можно было.
И вот разбираемся...

[Konstanti]

@alex82
какая модель внутреннего телефона ?
я бы глянул документацию на сайте

[Konstanti]

@alex82 Про мысли всякие
чтобы точно разобраться , что происходит , нужен дамп sip трафика , там все четко видно , о чем телефоны договорились
На какой адрес и на какой порт слать rtp трафик

По поводу того , почему Zyxel работает без проблем , у этих маршрутизаторов есть такая функция , называется NAT ALG , поэтому он сразу модифицирует SIP пакеты как надо для прохождения трафика через NAT

А в PF такой функции нет

[alex82]

Телефоны которые участвовали
http://support.yealink.com/documentFront/forwardToDocumentDetailPage?documentId=206

http://support.yealink.com/documentFront/forwardToDocumentDetailPage?documentId=95

http://support.yealink.com/documentFront/forwardToDocumentDetailPage?documentId=15

http://support.yealink.com/documentFront/forwardToDocumentDetailPage?documentId=138

http://support.yealink.com/documentFront/forwardToDocumentDetailPage?documentId=77

Как будет возможность проанализирую трафик.
Если сейчас предположить, что телефоны между собой договорились так, что какойто роутер может сам умно маршрутизировать трафик как надо, а PF нет, но как это можно обойти, учитывая, что у той стороны может быть что угодно, не совсем понятно (
Нужно какое то универсальное решение, какой то аналог этого SIP ALG. Если действительно в нем дело.
Помню на Draytek Vigor 2960 в свое время использовали была такая галочка даже, но при ее включении она ломала всю связь на АТС :)
Да и кстати, на нем я сейчас тоже проверил такой вариант звонков, тоже не работает, порты все пробросил. Правда ту галку я не трогал.

[Konstanti]

@alex82

мои настройки

все тут понятно
надо чтобы внутр тел знал свой внешний ip
можете его ручками прописать
верхняя опция nat manual

[werter]

Добрый.

@alex82

Слушайте, детский сад какой-то (
Наберите в гугле sip voip pfsense . На 1-й же странице все есть. Обратите внимание на Static port.

P.s. Негоже открыто голосовой трафик гонять. Ваши аппараты умеют шифрование? Используйте.
Если телефоны нах-ся за роутером - настроить на нем openvpn с пф. И гонять трафик в туннеле.
Если телефоны умеют IAX2 - пользовать его вместо SIP+RTP.

@Konstanti
У вас в настройках STUN сервер указан ? Он ваш? Или это "левый"? Я бы "голос" не доверял "левым" серверам.

[alex82]

Да все понятно про openvpn и прочее и про шифрование тоже. Отстаивали эту позицию, я же писал выше, что уперлись некоторые :) и вот надо чтобы такой способ тоже работал и всё тут... делайте...

[Konstanti]

@werter
Это stun разработчиков софта ( в частности ,этому телефону stun не нужен , он наружу не лезет )
Обычно использую stun freeswitch-а или разработчика softphon-а
я этот привел , как пример для ТС , где NAT можно открыть в настройках телефона .
Кстати , Тс , не работает звук если NAT настроить ???

[alex82]

@konstanti
Да попробовал все и даже на обоих телефонах с двух сторон попробовал, нет звука от меня туда, от туда я слышу.
Пробовал и по отдельности NAT и еще там настройка ниже и STUN тоже, результат не меняется.
На фаерволе PF я вижу только 5060 на внутренний адрес, больше ничего на него не приходит.

[werter]

@alex82
Вы static port настроили в правилах NAT ?

За каким уст-вом находятся ваши телефоны? Они ж не напрямую в инет лезут?

[alex82]

@konstanti Да кстати Packet Capture на PF показывает естественно весь трафик UDP с телефона ко мне на мой белый адрес, в обратку тишина вообще, ну в начале только 5060 как раз есть от меня

[Konstanti]

@alex82

Пришлите мне посмотреть на почту этот обмен (почта есть в профиле)
в формате pcap
меня очень интересует сообщение Status : 200 OK - от вашего внутреннего телефона к внешнему

[alex82]

@konstanti
Там такого нет :)
Да а там смотреть то нечего, вначале пара строчек от меня на внутренний по 5060 и потом пошли все ко мне на внешний с того внутреннего UDP по разным портам и все больше там ничего нет.

Надо попробовать что тут человек посоветовал конечно... надо почитать разобраться...

[Konstanti]

@alex82

естественно нет
вы же видите только UDP пакеты
а мне нужно их содержимое , на этой странице есть кнопка download capture
вот после снятия трейса , нажмите эту кнопку , выгрузится файл
пришлите мне его

в результате , я увижу вот такое

[Konstanti]

@alex82
мне нужен только

udp и порт 5060
позвонили , подняли трубку , положили трубку - стоп

[Konstanti]

@konstanti
Это трейс моего звонка с внешнего ( мобильного софтфона ) на ip телефон , находящийся за NAT PF ( тоже с пробросом портов)