Не идет голос

lib_32 · Сообщение **lib_32** » Пт 17 окт 2014, 07:57

Добрый день! Есть S8800 CM5.2 и G450 . Настраиваю по h323 канал с провайдером. Проблема состоит в том что голос не идет в обе стороны!! Уже сколько не пробывал менять параметры Direct ip-ip audio и в networ region и кодеки, ничего не помогает!
Они сняли дамп и сказали что адрес Procr транслируется вместо внешнего. Помогите с решением данной проблемы!

lib_32 · Сообщение **lib_32** » Пт 17 окт 2014, 07:59

Далее

lib_32 · Сообщение **lib_32** » Пт 17 окт 2014, 08:00

И наконец

lib_32 · Сообщение **lib_32** » Пт 17 окт 2014, 08:12

Извините, забыл вернуть в сигн.группе нетворк регион на 10

gosha · Сообщение **gosha** » Пт 17 окт 2014, 08:16

А какая железина NATом занимается?

lib_32 · Сообщение **lib_32** » Пт 17 окт 2014, 08:37

gosha писал(а):А какая железина NATом занимается?

Check Point! ну там сделали вот такие настройки! еще открыли TCP и UDP порты выше 1024, и H245 протокол!

Еще выяснилось что идут запросы с IP адреса шлюза к провайдеру! может какое то правило еще создать?
МTT говорят что от нас медиа идет не внешним Ip а внутренним

gosha · Сообщение **gosha** » Пт 17 окт 2014, 10:16

С чекпойнтом близко не знаком, но по логике вещей, надо открыть 1720 на вход и натить все телефонное на выход и включить чекпойнту знание H.323 - все остальное он должен делать сам, включая создание дополнительных трансляций "внутрь".

lib_32 · Сообщение **lib_32** » Пт 17 окт 2014, 10:23

gosha писал(а):С чекпойнтом близко не знаком, но по логике вещей, надо открыть 1720 на вход и натить все телефонное на выход и включить чекпойнту знание H.323 - все остальное он должен делать сам, включая создание дополнительных трансляций "внутрь".

Сделали как вы сказали! но голос все равно не слышно! Провайдер говорит че то в настройках Avaya надо сделать! Что такое media не знаю,но говорят проблема в нем.. транслируется внутренний Ip в пакете и от них на этот же ip и летит, и получается что в никуда.. А сигнализация нормально устанавливается
Direct ip-ip audio на yes везде поставить?ставил.... !там еще есть Nat и translation Nat,что это такое?
Может еще в станции что то конкретно нужно настроить?

gosha · Сообщение **gosha** » Пт 17 окт 2014, 11:03

Фраза "знание H.323" подразумевает, в том числе, замену всех внутренних адресов внутри H.323 сообщений на внешние и обратно. Так что дрессируйте ваш чекпойнт...

lib_32 · Сообщение **lib_32** » Ср 22 окт 2014, 12:29

Дрессировали... появилась односторонняя слышимость, только мне говорят что ничего не делали глобального с настройками)

Дамп на стороне провайдера показывает что чекпоинт меняет порты.. хотя сис админ говорит что он не должен их менять..
Щас вот сниму дамп до ната и за натом. Будем смотреть...)))

gosha · Сообщение **gosha** » Ср 22 окт 2014, 13:40

Думаю, вы понимаете, что сами по себе даже кошки не родятся...

lib_32 · Сообщение **lib_32** » Вт 28 окт 2014, 12:35

gosha писал(а):Думаю, вы понимаете, что сами по себе даже кошки не родятся...

Есть такой вопрос ! Можно ли сделать чтобы голос шел через общий ip адрес сервера, а то по логам он постоянно со шлюзов щимится...?

снял дамп на всякий случай
https://yadi.sk/d/hKJCKAUccLXFu

alma · Сообщение **alma** » Вт 28 окт 2014, 12:44

Direct ip-ip в сигнальной группе пробывали отключать?

gosha · Сообщение **gosha** » Вт 28 окт 2014, 12:45

Нет, нельзя. И это правильно. Продолжайте дрессировать CheckPoint.

lib_32 · Сообщение **lib_32** » Вт 28 окт 2014, 12:46

alma писал(а):Direct ip-ip в сигнальной группе пробывали отключать?

Пробывал даже и в network region не помогает!!

lib_32 · Сообщение **lib_32** » Вт 28 окт 2014, 12:47

gosha писал(а):Нет, нельзя. И это правильно. Продолжайте дрессировать CheckPoint.

Что именно дрессировать???? если мы полностью делали доступ всей телефонной подсети в интернет!?

gosha · Сообщение **gosha** » Вт 28 окт 2014, 12:48

alma писал(а):Direct ip-ip в сигнальной группе пробывали отключать?

Это всего лишь означает, что при звонке с IP-телефона RTP будет не с телефона, а со шлюза...

gosha · Сообщение **gosha** » Вт 28 окт 2014, 12:50

lib_32 писал(а):
gosha писал(а):Нет, нельзя. И это правильно. Продолжайте дрессировать CheckPoint.
Что именно дрессировать???? если мы полностью делали доступ всей телефонной подсети в интернет!?

Дело не в доступе ко всей сети, дело в подмене полей внутри H.323 при прохождении через ЧП.

lib_32 · Сообщение **lib_32** » Вт 28 окт 2014, 12:56

gosha писал(а):
lib_32 писал(а):
gosha писал(а):Нет, нельзя. И это правильно. Продолжайте дрессировать CheckPoint.
Что именно дрессировать???? если мы полностью делали доступ всей телефонной подсети в интернет!?
Дело не в доступе ко всей сети, дело в подмене полей внутри H.323 при прохождении через ЧП.

В чекпоинте можно делать правила для нат и для файрвола.... но я не спец по нему)) там есть специальное правило которое это делает или протокол?

gosha · Сообщение **gosha** » Вт 28 окт 2014, 12:59

Я тоже по нему не спец. Я знаю, как это делается в Cisco ASA. И у Cisco это хорошо документировано.

alma · Сообщение **alma** » Вт 28 окт 2014, 13:06

gosha писал(а):
alma писал(а):Direct ip-ip в сигнальной группе пробывали отключать?
Это всего лишь означает, что при звонке с IP-телефона RTP будет не с телефона, а со шлюза...

Дак это и понятно. Н.323 через NAT ....

dadoo · Сообщение **dadoo** » Вт 28 окт 2014, 13:42

Мы как альтернативу ставили передаточное звено - cisco cm. Внутри сети она соединялась с аваей, а дальше единым адресом вылезала за nat. По другому разрулить множественность ip адресов от avaya не получалось. Опять же это бюджетное решение, без покупки дорогого оборудования.

gosha · Сообщение **gosha** » Ср 29 окт 2014, 12:22

Костыль он и есть костыль.

lib_32 · Сообщение **lib_32** » Чт 30 окт 2014, 09:17

gosha писал(а):Костыль он и есть костыль.

Это все конечно плохо((( Но есть один важный вопрос))!! как специалисту chekpointa доказать что действительно его оборудование виновато в том что голос не идет?
Как работает avaya по h323 ? Почему она не может все через главный сервер гнать?

И мне тут доказывают что гейткипер должен все это делать....
Гейткипер - очень полезный, но необязательный компонент сети с возможностями H.323. Гейткипер обеспечивает трансляцию адресов и управляет доступом к сетевым ресурсам для терминалов H.323, GW и MCU.

gosha · Сообщение **gosha** » Чт 30 окт 2014, 11:00

Снимите wireshark'ом вызов со стороны внешнего интерфейса ЧП и выложите .pcap - покажу, где у ЧП косяки.

lib_32 · Сообщение **lib_32** » Чт 30 окт 2014, 11:01

lib_32 писал(а):
gosha писал(а):Костыль он и есть костыль.
Это все конечно плохо((( Но есть один важный вопрос))!! как специалисту chekpointa доказать что действительно его оборудование виновато в том что голос не идет?
Как работает avaya по h323 ? Почему она не может все через главный сервер гнать?

И мне тут доказывают что гейткипер должен все это делать....
Гейткипер - очень полезный, но необязательный компонент сети с возможностями H.323. Гейткипер обеспечивает трансляцию адресов и управляет доступом к сетевым ресурсам для терминалов H.323, GW и MCU.

почему через главный сервер не может все идти разобрался))) потому что только шлюз может voip трафик пропускать)

ну вот теперь вопрос стоит получается натить надо каждый Ip адрес шлюза?

gosha · Сообщение **gosha** » Чт 30 окт 2014, 11:02

lib_32 писал(а): ну вот теперь вопрос стоит получается натить надо каждый Ip адрес шлюза?

Да. И чем это страшно???

lib_32 · Сообщение **lib_32** » Чт 30 окт 2014, 11:03

gosha писал(а):Снимите wireshark'ом вызов со стороны внешнего интерфейса ЧП и выложите .pcap - покажу, где у ЧП косяки.

ок щас пришлю

lib_32 · Сообщение **lib_32** » Чт 30 окт 2014, 11:04

gosha писал(а):
lib_32 писал(а): ну вот теперь вопрос стоит получается натить надо каждый Ip адрес шлюза?
Да. И чем это страшно???

то что для каждого Ip шлюза нужно иметь столько же внешних Ip

gosha · Сообщение **gosha** » Чт 30 окт 2014, 11:07

lib_32 писал(а):
gosha писал(а):
lib_32 писал(а): ну вот теперь вопрос стоит получается натить надо каждый Ip адрес шлюза?
Да. И чем это страшно???
то что для каждого Ip шлюза нужно иметь столько же внешних Ip

Чушь. Все прекрасно мапится на один единственный адрес внешнего интерфейса ЧП, который сам должен разбираться в пакетами в обе стороны. У меня на всех сайтах (правда там Cisco ASA или рутеры) именно так и работает.

lib_32 · Сообщение **lib_32** » Чт 30 окт 2014, 11:55

вот дамп)если можно скиньте инструкцию как у вас сделано это, чтобы понять аналогию.toporkovay@tagmet.ru

https://yadi.sk/d/s-AI-647cP7KC ссылка на дамп
только там ничего не видно(((
80.75.130.143 - провайдер
10.5.17.2 procr
10.5.17. - телефонная подсеть

gosha · Сообщение **gosha** » Чт 30 окт 2014, 18:22

Ни одного фрейма с адресом 80.75.130.143

lib_32 · Сообщение **lib_32** » Пт 31 окт 2014, 08:20

gosha писал(а):Ни одного фрейма с адресом 80.75.130.143

ну вот и я о том же)))
Снимали дамп следующим образом:
Есть физический интерфейс у чекпоинта. С него идет патчкорд в коммутатор. Порт в коммутаторе зазеркалили и воткнулись ноутбуком..
на другой внешний Ip по sip есть фрейм, а на этот нет... как то странно..
может чекпоинт не дает увидеть я не знаю...
в чекпоинте показывает что идут запросы...

Щас попробую снять дамп со всей телефонной подсети!!!

lib_32 · Сообщение **lib_32** » Пт 31 окт 2014, 12:47

lib_32 писал(а):
gosha писал(а):Ни одного фрейма с адресом 80.75.130.143
ну вот и я о том же)))
Снимали дамп следующим образом:
Есть физический интерфейс у чекпоинта. С него идет патчкорд в коммутатор. Порт в коммутаторе зазеркалили и воткнулись ноутбуком..
на другой внешний Ip по sip есть фрейм, а на этот нет... как то странно..
может чекпоинт не дает увидеть я не знаю...
в чекпоинте показывает что идут запросы...
Наш специалист по чекпоинту говорит что в настройках avaya должна быть настройка типо public ip, чтобы avaya в случае выхода во внешнюю сеть подставляла внешний ip

Щас попробую снять дамп со всей телефонной подсети!!!

Не правильно снимали дам за натом...щас вот сняли все как нужно и выяснилось следующие:
1. До NAT передается Rtp пакет с таким то портом! после прохождения нат это пакет превращается в Udp а rtp уже нет и порт меняется. Я не уверен что это правильно!

2. Сигнализация выходит по порту 1720 но за натом опять же меняется! Но звонок проходит и даже слышно голос в одну сторону!

3. Со стороны провайдера ничего не видно(( от них ничего не приходит

Вопрос в следующем!!! Нат же не должен обрезать rtp и отдавать только udp? и менять порты?

Вообщем думаю на этих скриншотах будет все понятно! Gosha твое мнение на это счет.!

lib_32 · Сообщение **lib_32** » Пт 31 окт 2014, 13:14

in https://yadi.sk/d/t5JOLDddcQX6E
out https://yadi.sk/d/sR2LpDcqcQXE6

Наш специалист по чекпоинту говорит что в настройках avaya должна быть настройка типо public ip, чтобы avaya в случае выхода во внешнюю сеть подставляла внешний ip. А в чекпоинте такого сделать нельзя вроде как)))) или говорит надо покупать какой дополнительный софт media gateway chekpoint))) короче походу придется vpn поднимать....

gosha · Сообщение **gosha** » Ср 05 ноя 2014, 10:28

Обмен я вижу. А в какую сторону голос идет, а в какую - нет?

lib_32 · Сообщение **lib_32** » Ср 05 ноя 2014, 10:31

gosha писал(а):Обмен я вижу. А в какую сторону голос идет, а в какую - нет?

Голос идет на стороне B!
На стороне A его не слышно!

Внутри заголовка H323 нат или avaya не меняет внутреннии Ip на внешние! вот в чем проблема(((
Можете дать ваши настройки на cisko или где вы там делали?

gosha · Сообщение **gosha** » Ср 05 ноя 2014, 11:14

lib_32 писал(а):Внутри заголовка H323 нат или avaya не меняет внутреннии Ip на внешние! вот в чем проблема(((

Значит продолжайте дрессировать ЧП.

lib_32 писал(а): Можете дать ваши настройки на cisko или где вы там делали?

А специфичных настроек нет, как таковых. Сделан NAT на адрес внешнего интерфейса наружу со всего, что может генерить значимый трафик, прокидывание порта 1720/tcp внутрь и дана команда "бдить H.323". И оно бдит так, как надо.

lib_32 · Сообщение **lib_32** » Ср 05 ноя 2014, 13:52

gosha писал(а):
lib_32 писал(а):Внутри заголовка H323 нат или avaya не меняет внутреннии Ip на внешние! вот в чем проблема(((
Значит продолжайте дрессировать ЧП.
lib_32 писал(а): Можете дать ваши настройки на cisko или где вы там делали?
А специфичных настроек нет, как таковых. Сделан NAT на адрес внешнего интерфейса наружу со всего, что может генерить значимый трафик, прокидывание порта 1720/tcp внутрь и дана команда "бдить H.323". И оно бдит так, как надо.

У чекпоинта нет такой функции "бдить H.323"!(преобразовывать))) мне так мой коллега сказал который его настраивает

gosha · Сообщение **gosha** » Ср 05 ноя 2014, 20:37

А это тогда о чем?