Владимир

iptables -t nat -L -vn | grep 5060
iptables -L FORWARD -vn | grep 5060

ХЗ есть ли оно в "подснежнике" вашем

Нормальный софтсвитч всегда готов что RTP привалит с другого полта для клиентов за NAT
Если ваш этого не может поробуйте использовать STUN
для asterisk 11 и выше
sip.conf [general]
icesupport = yes
rtp.conf
stunaddr=sip.stun.tld

Что-то вы путаете с исходящими портами и портами назначения.
Если нет re-INVITE клиент не должен менять исходящий порт равно как и порт назначения.