Отключен Iptables и SELinux. Что еще может мешать входящим подключениям?

Question

[Сослан Алдатов]

Добрый день!

Есть сервер с public IP (не за NAT) с установленным Centos 6.5. Установлен и запущен Asterisk.
Проблема такова: SIP-клиенты получают 408 Request Timeout при попытке подключения.
SELinux отключен, iptables — тоже. Порт UDP/5060, судя по netstat, слушается.

Вопрос: что еще может мешать подключению?
Спасибо за внимание!

Comments

[Сослан Алдатов]

Пробовал подключаться и из-за NAT, и с public IP. В sip debug — абсолютно пусто. Также пробовал слать пакеты с произвольным содержимым на udp/5060 — не приходят (в нормальных условиях их содержимое отображается в CLI).

[EvilMan]

Запустите tcpdump и поглядите, действительно ли пакеты приходят? Если есть возможность, покажите дамп (желательно снимать дамп с параметром -n).

[Сослан Алдатов]

@EvilMan Что-то я об этом не подумал...а пакеты-то действительно не приходят. Похоже, провайдеру не нравится sip-трафик. Буду уточнять...спасибо!

Answer 1

[Игорь]

проверьте на всякий случай файлы:

/etc/hosts.deny
/etc/hosts.allow

iptables и selinux точно не работают?
Покажите вывод команд:

iptables-save
sestatus

Comments

[Сослан Алдатов]

В hosts.deny и hosts.allow — пусто.

iptables-save:

[root@cs1403 ~]# iptables-save
# Generated by iptables-save v1.4.7 on Fri Jul 11 06:10:27 2014
*filter
:INPUT ACCEPT [24:1984]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [17:1896]
COMMIT
# Completed on Fri Jul 11 06:10:27 2014

sestatus:

[root@cs1403 ~]# sestatus
SELinux status:                 disabled

[Игорь]

А в самих диалпланах нет ограничения? Что-нибудь вроде такого:

deny=0.0.0.0/0.0.0.0; 
permit =xxx.xxx.xxx.xxx/24;

tcpdump-ом не пробовали смотреть пакеты при попытке подключиться? Например, так:
tcpdump udp port 5060

[Сослан Алдатов]

@merryjane в конфигах экстеншнов ограничений нет. А tcpdump-ом уже попробовал, ага...не доходят пакеты до сервера. Судя по всему, провайдер блокирует SIP-трафик.

Answer 2

[Calc]

Клиент за NAT?
Что сам asterisk говорит по этому поводу?
Пробовали включать sip debug
Может клиент пытается подключиться и шлет свой локальный IP, астериск получает входящий пакет и шлет ответ на локальный IP клиента, а не на внешний

sip debug можно включить и на IP и на клиента и посмотреть

Comments

[Сослан Алдатов]

Пробовал подключаться и из-за NAT, и с public IP. В sip debug — абсолютно пусто. Также пробовал слать пакеты с произвольным содержимым на udp/5060 — не приходят (в нормальных условиях их содержимое отображается в CLI).

Answer 3

[Алексей Черемисин]

Еще есть замечательный сервис failtoban, он как раз вместе с freepbx в комплекте. Вот он тоже может через iptables блокировать. Если он включен, то снесите его и еще, на всякий случай:

setenforce 0
iptables -F

Answer 4

[Олег Войтенко]

Интересно было бы глянуть карту сети, тогда можно удельный совет дать.!!!

Но для начала посоветую такое, исходя из данных, которые есть сейчас.
Протрассируйте маршруты, прокиньте порт. где-то по дороге порт закрыт. Сталкивались с такой бедой.