Правила nftables на роутере для работы sip/rtp между LAN и сервером телефонии в интернете?

Question

[brar]

LAN -- router (белый статический IP-address) -- внешний SIP-server.
Адрес сипсервера - 203.0.113.66
Проброс входящих на роутер от сипсервера пакетов на порты sip-клиента внутри сети работает:

iifname enp2s0 ip saddr 203.0.113.66 udp dport { 5060, 16384-32766 } dnat 192.168.77.25

Но как настроить роутер для работы нескольких sip-клиентов внутри локальной сети? На каждый пробрасывать индивидуальный порт - это не труъ-вэй.

Answer 1

[Zerg89]

А зачем? По идее dnat сам разберётся что и кому обратно переслать по порту на который ответ прилетел. Для множество адресов есть address list

Comments

[brar]

Если вкратце последовательность телефонии такая:
Телефон из LAN отправляет на сервер запрос на регистрацию. Получает благополучно ее.
Пока это соединение "живое", то приходящий из-вне звонок приходит на внешний адрес роутера, тот знает на какой IP-адрес внутри LAN его направить и звонок успешен.
Но как только при бездействии телефона соединение на роутере убивается по таймауту (буквально пару минут), то пришедший на внешний адрес роутера invite от сервера телефонии никуда не уйдет, потому что роутер не будет знать куда его направить.

[Zerg89]

brar, так уменьшите время перерегистрации(если re-invit не поддерживается) на аппаратах чтобы канал не падал, либо таймаут для сессии увеличте

[brar]

Zerg89, не. Это кривой способ делать раз в минуту перерегистрацию. Помимо этого, там всплывет rtp.
На микротике это исправлялось включением upnp, Похоже тут также придется.

[Zerg89]

brar, для sip timeout без reinvite 32 секунды и что выгодней каждые 30 секунд пересоздавать соединение или всетаки поддерживать его?
Rtp только во время вызова и он как раз должен завершатся(согласен что увеличение таймаута сессии для rtp криво будет работать)
На самом деле происходит так
Телефон отправляет регистрацию сервер отправляет в ответ ок регистрация прошла следующий пакет жду столько то времени

[brar]

Zerg89, это тоже костыль. Очистились соединения на роутере (неважно по каким причинам, упал аплин, вручную выполнили conntrack -F, etc) и соединения не будет пока телефон не пришлет перерегистрацию. Если в этот момент придет звонок он никуда не придёт.

[Zerg89]

brar,

conntrack -F

за такое по рукам ломом надо бить,

упал аплин

а это либо решается нормально настроенным dualwan и dindns, либо никак, телефон не знает что у тебя на роутере аплик упал сеть у него доступна(есть конечно вариант с маркировкой и принудительно убитием сессий если аплинк упал но есть один минус ввиде не полного падения аплика а его нестабильной работы ввиде потери пакетов)