Как настроить маршрутизатор Cisco чтобы внутренние IP не были видны за NAT?

Question

[Сергей]

Добрый день.
Есть маршрутизатор Cisco RV320 и есть облачная телефония.

Проблема следующая:
Перед новым годом провайдер SIP телефонии заменил сервер через который работает телефония и теперь система блокирует телефоны так как по информации от провайдера, на их оборудование запросы идут не от внешнего IP, а от всех внутренних IP (то есть в сеть попадают серые IP).

Вопрос в следующем, как правильно настроить чтобы все внутренние/серые IP были видны только внутри сети, а не извне?

Судя по документации это настраивается в разделе One-to-One NAT:
https://www.cisco.com/c/en/us/support/docs/smb/rou...

Но при настройке я получаю следующую ошибку:


Что не так делаю? Белый ip от провайдера один.

Comments

[Valentin Barbolin]

Только телефоны ходят в интернет через эту Cisco?

[Сергей]

Andrey Barbolin, нет, все устройства которые находятся внутри сети.

Я думаю где-то упустил что-то в настройках, так как опыта работы с Cisco пока имею мало.

[Valentin Barbolin]

Сергей, Если пользователи ходят в интернет - значит NAT уже работает правильно.
One-to-One -это не то что тебе надо, данный тип NAT настраивает привязку одного внутренного IP к одному внешнему. Но у тебя только 1 внешний IP.

Скорее всего речь идет о не правильной работе SIP. В самом SIP пакете, телефон указывает свой внутренний адрес, а NAT по умолчанию обрабатывает только с заголовками пакета и не лезет внутрь пакеты. Нужен SIP ALG.

Что можно попробовать
- проверить настройки телефона, должен быть указан STUN сервер, что позволит телефону узнать свой Белый IP и подставить его в SIP пакет

ИЛИ

- проверь на Cisco опцию SIP ALG, что заставит Cisco залазить в SIP пакеты и править внутренний адрес на внешний.

[Сергей]

Andrey Barbolin, согласен, One-to-one NAT не то. Я думаю проблема где-то на стороне телефонов.

В настройках телефона "Настройки сети" в поле "Проброс NAT" указано "Keep-Alive" собственно что и должно быть (в инструкции от провайдера так).

SIP ALG выключен. Изначально когда подключал телефонию (два года назад) звонки обрывались через 20-30 секунд, тогда пришлось отключить SIP ALG, все пришло в норму. То есть 2 года все работало исправно, провайдер заменил сервер и пошло все на перекос. И насколько я понимаю, сервер SIP принимает пакеты от всех аппаратов, а по-умолчанию должен только с белого айпи.

Еще нашел в настройках IP телефонов такой раздел, может здесь чего-то не хватает?

[Valentin Barbolin]

Сергей, Провайдер, возможно не указал со своей стороны опцию NAT для SIP пира. Можно только гадать по какой причине.

Попробуй указать в поле NAT IP внешний адрес Cisco.

Answer 1

[Андрей]

А что за ТА? в некоторых есть настройка для работы за NAT. вообще было бы классно, если бы вы сняли дамп трафика на внешнем интерфейсе роутера. Можно было бы определить, что и где не так. Ну раз у вас такие вопросы, то попробуйте ALG.

Comments

[Сергей]

ТА - Grandstream GXP1610. Устройство хорошее, имеет действительно много гибких настроек, но четкой инструкции по настройке ТА под новый сервер от сип-провайдера нету, спихивают что роутер пропускает все IP телефонов за NAT.

Через Wireshark выйдет снять дамп трафика?

SIP ALG cейчас в настройках роутера выключен:


В ТП провайдера говорят что ДА, должен быть выключен, хотя на самом деле признались что у кого работает телефония при включенном SIP ALG, а у кого нет, играйтесь с настройками.

Я вот думаю, может нужно брать за горло провайдера облачнойАТС пусть дает внятную инструкцию с необходимыми настройками? Их ответ убил: пробуйте разные настройки, может заработает.

[Андрей]

Сергей, на самом деле так, как вам написал провайдер. производителей куча, настроек куча, дать однозначный ответ - очень сложно. Это я как оператор вам говорю. Играйтесь настройками. Я, обычно, снимаю дамп того, что мне прилетело от абонента и говорю ему, что надо настроить. Кладите сюда дамп - погляжу, может что посоветую. wireshark для дампа - пойдёт.