ASA5506 режет RTP при локальных разговорах — как пофиксить?

Question

[Максим Гришин]

Имеется ASA5506, десяток телефонов Panasonic KX-HDV100, провайдер Билайн и интернет-канал для телефонии. Телефоны настроены на одну учетку у Билайна и 10 виртуальных линий, каждому по линии. При звонке с этих телефонов наружу всё прекрасно работает, весь трафик ходит, голос в порядке и прочее. При звонке с одного из телефонов на другой - весь SIP-трафик проходит прекрасно, а голос от обоих телефонов циска режет на отправке вовне. Дампы собрал, в дампах все пакеты соответствуют стандарту SIP, т.е. Билайн в SDP-пакете присылает IP:порт на своем устройстве, туда же телефон шлет RTP, но аса его дропает. Куда копать? inspect sip включен в default inspection, без него вообще билайн шлет 403 и ни один телефон не работает. В остальном конфиг стандартный, кроме открытого разрешения udp снаружи внутрь по портам из RTP-диапазона:

access-group outside2_access_in in interface outside2
access-list outside2_access_in extended permit object rtp-local any4 192.168.103.0 255.255.255.0
object service rtp-local
service udp destination range 10000 20001

Смущает, что всё работает, если звонок идет на любой другой телефон, кроме локальных, а разницы в SIP/SDP-пакетах по факту нет. Ну или я её в упор не вижу.

Answer 1

[Ovsiannikov]

попробуйте траблшутить с помощью packet-tracer:

asa-5540s# packet-tracer input ?

Comments

[Максим Гришин]

Здесь проблема в том, что SIP прекрасно ходит, а проверить открытие RTP-пинхола для телефона я пакет-трейсером не могу. А судя по тому, что RTP режется на выходе из сети, проблема в том, что пинхол не только не открывается, а ещё и блокируется, при этом правил на блокировку исходящего трафика на асе нет. То есть packet-tracer мне не помощник.