[Sysadmins] sip problem

[Sysadmins] sip problem

[Andrii Dobrovol`s`kii]

Hi,
Уважаемое сообщество, нужна "помощь зала". Пытаясь заставить работать
ekiga зашел в тупик.
Имеется серая сеть. Нат отсутствует. В веб пользователи ходят через
прокси который слушает на сером адресе а сам работает с белого.
Нужно поучить работающую ekiga. Вписал Снат для портов 5000-5100.
Пропустил этот трафик по цепочкам. tcpdump показывает, что запросы за
шлюз уходят а назад ничего не возвращается. Я в тупике. Что ещё нужно?
Скайп понятное дело работает. Но он хитро скроен и полностью ходит через
прокси, как я понимаю. А как получить работающий sip c open source?
-- 
Andrii

Re: [Sysadmins] sip problem

[Starodumoff Ilya]

В сообщении от Суббота 12 сентября 2009 18:30:26 автор Andrii Dobrovol`s`kii 
написал:
> Hi,
> Уважаемое сообщество, нужна "помощь зала". Пытаясь заставить работать
> ekiga зашел в тупик.
> Имеется серая сеть. Нат отсутствует. В веб пользователи ходят через
> прокси который слушает на сером адресе а сам работает с белого.
> Нужно поучить работающую ekiga. Вписал Снат для портов 5000-5100.
> Пропустил этот трафик по цепочкам. tcpdump показывает, что запросы за
> шлюз уходят а назад ничего не возвращается. Я в тупике. Что ещё нужно?
> Скайп понятное дело работает. Но он хитро скроен и полностью ходит через
> прокси, как я понимаю. А как получить работающий sip c open source?
> 

Еще есть "верхний" диапазон, который тоже надо натить. Какой - зависит от 
сервера.
Или поставить sip proxy на шлюз.
Как то так...

Re: [Sysadmins] sip problem

[Andrii Dobrovol`s`kii]

В Суб, 12/09/2009 в 16:23 +0300, Michael Bochkaryov пишет:
> 

>         
> 
> Тебе не только SIP, но и RTP нужен, т.к. по нему голос и передается.
Хорошо. Сейчас попробую.
> 
> 1. Если не ошибаюсь, нужно подгрузить модуль ip_conntrack_sip (или
> ip_nat_sip).
И с этим поиграюсь.
> 2. Посмотри в настройках ekiga настройки, специфичные для NAT (STUN,
> etc).
Да уже смотрел и вдоль и поперек... Пока не просветляет...
> 
> Ну и вот, заметочка в тему:
> http://wiki.ekiga.org/index.php/Ekiga_behind_a_NAT_router 
> 
Чита уже более одного раза. Там и порты нашел. Да как-то оно не понятно
для меня написано...
--
Андрей

Re: [Sysadmins] sip problem

[Andrii Dobrovol`s`kii]

В Суб, 12/09/2009 в 18:45 +0600, Starodumoff Ilya пишет:
> В сообщении от Суббота 12 сентября 2009 18:30:26 автор Andrii Dobrovol`s`kii 
> написал:
> > Hi,
> > Уважаемое сообщество, нужна "помощь зала". Пытаясь заставить работать
> > ekiga зашел в тупик.
> > Имеется серая сеть. Нат отсутствует. В веб пользователи ходят через
> > прокси который слушает на сером адресе а сам работает с белого.
> > Нужно поучить работающую ekiga. Вписал Снат для портов 5000-5100.
> > Пропустил этот трафик по цепочкам. tcpdump показывает, что запросы за
> > шлюз уходят а назад ничего не возвращается. Я в тупике. Что ещё нужно?
> > Скайп понятное дело работает. Но он хитро скроен и полностью ходит через
> > прокси, как я понимаю. А как получить работающий sip c open source?
> > 
> 
> Еще есть "верхний" диапазон, который тоже надо натить. Какой - зависит от 
> сервера.
> Или поставить sip proxy на шлюз.
> Как то так...
Понять бы ещё что это за верхний диапазон...
Это об этом:
16:03:06.187968 IP k1-sysadmin.iop.kiev.ua.59985 > ekiga.net.www: S
2580186235:2580186235(0) win 5840 <mss 1460,sackOK,timestamp 2618588
0,nop,wscale 5>
16:03:09.187572 IP k1-sysadmin.iop.kiev.ua.59985 > ekiga.net.www: S
2580186235:2580186235(0) win 5840 <mss 1460,sackOK,timestamp 2619338
0,nop,wscale 5>
16:18:11.187947 IP k1-sysadmin.iop.kiev.ua.45721 > ekiga.net.www: S
3889425586:3889425586(0) win 5840 <mss 1460,sackOK,timestamp 2844838
0,nop,wscale 5>
16:18:14.187541 IP k1-sysadmin.iop.kiev.ua.45721 > ekiga.net.www: S
3889425586:3889425586(0) win 5840 <mss 1460,sackOK,timestamp 2845588
0,nop,wscale 5>
16:33:16.191967 IP k1-sysadmin.iop.kiev.ua.48280 > ekiga.net.www: S
898667918:898667918(0) win 5840 <mss 1460,sackOK,timestamp 3071089
0,nop,wscale 5>
16:33:19.191573 IP k1-sysadmin.iop.kiev.ua.48280 > ekiga.net.www: S
898667918:898667918(0) win 5840 <mss 1460,sackOK,timestamp 3071839
0,nop,wscale 5>
16:48:21.191977 IP k1-sysadmin.iop.kiev.ua.36524 > ekiga.net.www: S
2211670897:2211670897(0) win 5840 <mss 1460,sackOK,timestamp 3297339
0,nop,wscale 5>
16:48:24.191572 IP k1-sysadmin.iop.kiev.ua.36524 > ekiga.net.www: S
2211670897:2211670897(0) win 5840 <mss 1460,sackOK,timestamp 3298089
0,nop,wscale 5>
17:03:26.191968 IP k1-sysadmin.iop.kiev.ua.55018 > ekiga.net.www: S
3517440432:3517440432(0) win 5840 <mss 1460,sackOK,timestamp 3523589
0,nop,wscale 5>
17:03:29.191572 IP k1-sysadmin.iop.kiev.ua.55018 > ekiga.net.www: S
3517440432:3517440432(0) win 5840 <mss 1460,sackOK,timestamp 3524339
0,nop,wscale 5>
?
И что тогда открывать?
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] sip problem

[Владимир]

modprobe ip_nat_sip; modprobe ip_conntrack_sip
Для SIP
-p udp -m udp --dport 10000:20000 -j ACCEPT
-p udp -m udp --dport 5060 -j ACCEPT
почему-то не у всех клиентов работает.

Для Twinkle
-p udp -m udp --dport 8000 -j ACCEPT

Лучше IAX2 настраивать, там один порт,  но в альте клиентов нету.

Re: [Sysadmins] sip problem

[Starodumoff Ilya]

В сообщении от Суббота 12 сентября 2009 20:16:20 автор Andrii Dobrovol`s`kii 
написал:
> Понять бы ещё что это за верхний диапазон...
Ну диапазон для rtp настраивается на сервере, собственно.
В случае, если сервер не свой, достоверно знать диапазон невозможно.

Поэтому тут или sip proxy или ip_nat_sip, ip_conntrack_sip (nf_ в ядрах новее) 
пробовать, мне кажется

Re: [Sysadmins] sip problem

[Andrii Dobrovol`s`kii]

В Суб, 12/09/2009 в 20:39 +0600, Starodumoff Ilya пишет:
> В сообщении от Суббота 12 сентября 2009 20:16:20 автор Andrii Dobrovol`s`kii 
> написал:
> > Понять бы ещё что это за верхний диапазон...
> Ну диапазон для rtp настраивается на сервере, собственно.
> В случае, если сервер не свой, достоверно знать диапазон невозможно.
> 
> Поэтому тут или sip proxy или ip_nat_sip, ip_conntrack_sip (nf_ в ядрах новее) 
> пробовать, мне кажется
Сервер не свой. Пытаюсь связаться с собствено экигой. Их тестовым
номером...
На той машине где снатю модули подгрузил. Пока не помогло.
-- 
Андрей

Re: [Sysadmins] sip problem

[Andrii Dobrovol`s`kii]

В Суб, 12/09/2009 в 18:36 +0400, Владимир пишет:
> modprobe ip_nat_sip; modprobe ip_conntrack_sip
> Для SIP
> -p udp -m udp --dport 10000:20000 -j ACCEPT
> -p udp -m udp --dport 5060 -j ACCEPT
> почему-то не у всех клиентов работает.
> 
А откуда взят диапазон в первом правиле? Я по дампу не вижу чтоб оно
пыталось использовать эти порты. А модули подгрузил, спасибо.
> Для Twinkle
> -p udp -m udp --dport 8000 -j ACCEPT
> 
И всё-таки, что это она пытается делать?
17:48:41.199989 IP k1-sysadmin.iop.kiev.ua.58394 > ekiga.net.www: S
3160504000:3160504000(0) win 5840 <mss 1460,sackOK,timestamp 4202341
0,nop,wscale 5>
17:48:44.199575 IP k1-sysadmin.iop.kiev.ua.58394 > ekiga.net.www: S
3160504000:3160504000(0) win 5840 <mss 1460,sackOK,timestamp 4203091
0,nop,wscale 5>
Тут видна попытка идти с порта выше 50000 бог пойми куда... Попробую это
открыть..
> Лучше IAX2 настраивать, там один порт,  но в альте клиентов нету.
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] sip problem

[Владимир]

On Суббота 12 сентября 2009 19:03:18 Andrii Dobrovol`s`kii wrote:
> В Суб, 12/09/2009 в 18:36 +0400, Владимир пишет:
> > modprobe ip_nat_sip; modprobe ip_conntrack_sip
> > Для SIP
> > -p udp -m udp --dport 10000:20000 -j ACCEPT
> > -p udp -m udp --dport 5060 -j ACCEPT
> > почему-то не у всех клиентов работает.
>
> А откуда взят диапазон в первом правиле? Я по дампу не вижу чтоб оно
> пыталось использовать эти порты. А модули подгрузил, спасибо.

http://www.voip-info.org/tiki-index.php?page=Asterisk+firewall+rules

Re: [Sysadmins] sip problem

[Andrii Dobrovol`s`kii]

В Суб, 12/09/2009 в 19:11 +0400, Владимир пишет:
> On Суббота 12 сентября 2009 19:03:18 Andrii Dobrovol`s`kii wrote:
> > В Суб, 12/09/2009 в 18:36 +0400, Владимир пишет:
> > > modprobe ip_nat_sip; modprobe ip_conntrack_sip
> > > Для SIP
> > > -p udp -m udp --dport 10000:20000 -j ACCEPT
> > > -p udp -m udp --dport 5060 -j ACCEPT
> > > почему-то не у всех клиентов работает.
> >
> > А откуда взят диапазон в первом правиле? Я по дампу не вижу чтоб оно
> > пыталось использовать эти порты. А модули подгрузил, спасибо.
> 
> http://www.voip-info.org/tiki-index.php?page=Asterisk+firewall+rules
> 
Понятно. Спасибо. 
Только вот ведь фигня нарисовалась... Похоже оно не работает т.к. 
у меня в сети ограничено движение icmp пакетов. Т.к. в дампе видно, 
что оно запрашивает у шлюза icmp до адреса на который я транслирую серый адрес. 
Может есть готовый рецепт как его побороть? Без полного разрешения свободного хождения icmp.
-- 
Андрей