Как перенаправить трафик c astersik на другой сервер?

Question

[svtrimb]

Приветствую всех,
прошу помощи в настройке переадресации трафика в Mikrotik.

Имеется сервер asterisk с ip 10.152.22.130 которому указан шлюз sip провайдера с ip 10.152.22.129 (на последнем регистрируется sip-транк c астериска)

С недавних пор появилась потребность дополнительно завести на астериске sip пользователя, который регистрируется на asterisk снаружи (за NAT). Проблема в том, что работает что-то одно из двух: sip транк работает если шлюзом указан шлюз sip провайдера; sip юзер работает, если шлюзом назначить Mikrotik (раздающий интернет), при этом sip-транк, соответственно, отваливается. Просить sip-провайдера оказать какое-либо содействие оказалось бессмысленным, поэтому решил развести трафик Mikrotik'ом:

Сначала Asterisk'у указываю шлюз ip Mikrotik'a, далее в IP-Firewall-NAT создал правило (для sip-юзера):
General:
chain: dstnat
dst.address *внешний ip Mikrotik*
protocol: 17(udp)

action:
action: dst-nat
To address: 10.152.22.130
Здесь всё нормально, клиент без проблем регистрируется на астериске.

Sip-транк же пытаюсь "завернуть" в шлюз sip-провайдерас ip 10.152.22.129, и это уже не выходит сделать
Делаю здесь же, в NAT. (правило как в этой ветке Возможно ли перенаправление трафика в локальной сети на Mikrotik?)
General:
chain: dstnat
src. address 10.152.22.130
dst.address 10.152.22.129
protocol: 17(udp)

action:
action: dst-nat
To address: 10.152.22.129

Но регистрации никакой нет, даже пакеты не ходят. В чём может быть ошибка?

Comments

[Valentin Barbolin]

> Имеется сервер asterisk с ip 10.152.22.130 которому указан шлюз sip провайдера с ip 10.152.22.129
У тебя L2 канал к SIP провайдеру?

> sip юзер работает, если шлюзом назначить Mikrotik
Какой у шлюза адрес?

[svtrimb]

Andrey Barbolin,

>У тебя L2 канал к SIP провайдеру?
Пардон, написал неточно- 10.152.22.129 это роутер от sip-провайдера (Ростелеком).
Сам транк на asterisk'е регистрируется на Sip-сервере в другой подсети Ростелекома 10.154.22.0, который за этим роутером. Доступа в их вебинтерфейс, естественно, нет.
По поводу L2 ли это- похоже, что да.

> Какой у шлюза адрес?
у Mikrotik, имеющего выход в интернет ip 10.152.22.226

[Valentin Barbolin]

svtrimb, Тебе надо
- прописать маршруты на Asterisk.
Дефол сделать MIKROTIK и добавить маршрут на SIP провайдера через 10.152.22.129

- поправить sip.conf на asterisk
[general]
externip = ${MIKROTIK_WAN_IP}
localnet=10.152.22.0/255.255.255.0
localnet=${ЛОКАЛЬНАЯ_СЕТЬ_ТЕЛЕФОНОВ}

[svtrimb]

Andrey Barbolin, спасибо за совет

С NATом более-менее понятно, считаем что с sip-user'ом проблем нет.
Интересуют подробности по первой части:
< "- прописать маршруты на Asterisk.
< Дефол сделать MIKROTIK и добавить маршрут на SIP провайдера через 10.152.22.129"

1) Mikrotik поставлен дефолтным шлюзом для asterisk. тут, что называется, без вариантов.
2) "добавить маршрут на SIP провайдера через 10.152.22.129". Этот маршрут на астериске должен быть как дополнение к правилу на Mikrotik'e (которое src. address 10.152.22.130 <---> dst.address 10.152.22.129) или там оно вообще не нужно? В чем вообще разница, если на астериске и на микротике указывается один и тот же статический маршрут?

P.S. добавляю схему сети для большей наглядности

[Valentin Barbolin]

svtrimb, Никогда не любил ассиметричные схемы маршрутизации. Полагаю тут где-то есть свич раз это все в одной L2 сети (10.152.22.129).

> Этот маршрут на астериске должен быть как дополнение к правилу
Маршрут достаточно прописать в одном месте ( астер или микротик). Если пропишите на микротике, то обратный пакет от Ростелекома будет лететь мимо микротика прямо на астер.

На вашем месте, я бы подключил роутер от Ростелекома к микротику, настроил бы между ними маршрутизацию (сеть 10.10.10.0/24), добавил бы на микроте маршрут в сторону SIP ростелекома через их роутре, а на астере оставил бы только микротик как GW.

Маршрутизацию надо разруливать на маршрутизаторе...

[Антон Пащенко]

Вы перемудрили с правилами DstNAT.
1. Вот тут:

General:
chain: dstnat
dst.address *внешний ip Mikrotik*
protocol: 17(udp)

action:
action: dst-nat
To address: 10.152.22.130

надо указать ещё внешний порт (Dst. Port) и порт назначения на локальной машине (To Ports). Стандартный порт 5060, но как правило порт на публичном IP переназначают, например, на 8753, или ещё какой. При этом Астериск должен слушать тот порт, что указан в поле "To Ports", стандартно 5060.
В блоке настроек sip.conf вашего внешнего пользователя АТС Астериск
nat=force_rport,comedia
2. Тут вообще ерунда какая-то:

General:
chain: dstnat
src. address 10.152.22.130
dst.address 10.152.22.129
protocol: 17(udp)

action:
action: dst-nat
To address: 10.152.22.129

Во первых, опять нет номеров портов.
А во вторых вы обращения с 10.152.22.130 на 10.152.22.129, переадресовываете на 10.152.22.129, т.е. масло масленное.
Это правило вообще удалите, оно вам не нужно.
3. Настройка в настройках транка астера:
nat=force_rport,comedia
host="Хост который вам указал провайдер"
fromdomain="Хост который вам указал провайдер"
insecure=port,invite
type=friend
port="Порт который вам указал провайдер"

Всё должно после этого взлететь!