Проблема с передачей голоса через шлюз + впн

[ustits]

Исходные данные: есть сервер ubuntu, все в одном (nat dhcp dns samba), работающий шлюзом в инет, на нем поднят pptp впн канал в центральный офис, все работает замечетельно до момента...
В офис ставим атс panasonic 500 и по sip вяжем с атс ЦО.
Результат: звонок приходит в обе стороны, но голос идет только в сторону ЦО. Похоже кто то рубит udp. Порты пробросил кучей для экономии места в распечатке, в реалии есть 4 группы портов, но пробовали и так и так, результат от этого не изменяется.

Вопрос что не так в настройке iptables:
10.0.0.0 - инет (далее идет еще через железный нат на адсл)
10.0.0.33 - eth0 - wan интерфейс
192.168.1.0 - сеть офиса
192.168.1.1 - eth1 - локальная сетевая карта
192.168.1.2 - АТС
192.168.0.0 - сеть ЦО
192.168.0.1 - адрес получаемый по pptp

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.10 on Tue Jul 19 16:45:16 2011
*nat
:PREROUTING ACCEPT [287:19213]
:INPUT ACCEPT [44:3261]
:OUTPUT ACCEPT [74:7366]
:POSTROUTING ACCEPT [66:5626]
-A PREROUTING ! -d 192.168.1.0/24 -i eth1 -p tcp -m multiport --dports 80,8080 -j DNAT --to-destination 192.168.1.1:3128
-A PREROUTING -d 192.168.0.1/32 -p tcp -m tcp --dport 1717:65535 -j DNAT --to-destination 192.168.1.2
-A PREROUTING -d 192.168.0.1/32 -p udp -m udp --dport 1717:65535 -j DNAT --to-destination 192.168.1.2
-A OUTPUT -d 192.168.0.1/32 -p tcp -m tcp --dport 1717:65535 -j DNAT --to-destination 192.168.1.2
-A OUTPUT -d 192.168.0.1/32 -p udp -m udp --dport 1717:65535 -j DNAT --to-destination 192.168.1.2
-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
-A POSTROUTING -d 192.168.1.2/32 -p tcp -m tcp --dport 1717:65535 -j SNAT --to-source 192.168.1.1
-A POSTROUTING -d 192.168.1.2/32 -p udp -m udp --dport 1717:65535 -j SNAT --to-source 192.168.1.1
COMMIT
# Completed on Tue Jul 19 16:45:16 2011
# Generated by iptables-save v1.4.10 on Tue Jul 19 16:45:16 2011
*mangle
:PREROUTING ACCEPT [6136:575788]
:INPUT ACCEPT [2479:208492]
:FORWARD ACCEPT [3657:367296]
:OUTPUT ACCEPT [1922:221919]
:POSTROUTING ACCEPT [5591:592197]
COMMIT
# Completed on Tue Jul 19 16:45:16 2011
# Generated by iptables-save v1.4.10 on Tue Jul 19 16:45:16 2011
*filter
:INPUT ACCEPT [1743:153793]
:FORWARD ACCEPT [38:1592]
:OUTPUT ACCEPT [1436:160809]
-A INPUT -i 192.168.0.1 -p udp -m udp --sport 1717:65535 --dport 500:65535 -j ACCEPT
-A INPUT -i 192.168.0.1 -p tcp -m tcp --sport 1717:65535 --dport 500:65535 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 10.0.0.33/32 -p tcp -m tcp --dport 22 -j ACCEPT
-A FORWARD -i eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.1.2/32 -p tcp -m tcp --dport 1717:65535 -j ACCEPT
-A FORWARD -d 192.168.1.2/32 -p udp -m udp --dport 1717:65535 -j ACCEPT
COMMIT
# Completed on Tue Jul 19 16:45:16 2011

[fisher74]

-A POSTROUTING -d 192.168.1.2/32 -p tcp -m tcp --dport 1717:65535 -j SNAT --to-source 192.168.1.1
-A POSTROUTING -d 192.168.1.2/32 -p udp -m udp --dport 1717:65535 -j SNAT --to-source 192.168.1.1

Если для АТС шлюз является дефолтным, то это лишнее...
Мне так кажется, хотя sip не знаю
Пользователь решил продолжить мысль 19 Июля 2011, 17:20:24:

-A OUTPUT -d 192.168.0.1/32 -p tcp -m tcp --dport 1717:65535 -j DNAT --to-destination 192.168.1.2
-A OUTPUT -d 192.168.0.1/32 -p udp -m udp --dport 1717:65535 -j DNAT --to-destination 192.168.1.2

Назначение этого в таблице nat вообще непонятно.

[ustits]

Это добавлено согласно мануала по iptables http://www.opennet.ru/docs/RUS/iptables/. Собственно до этого все работало точно также.

[fisher74]

Мануал можно читать по разному.
Зачем преобразовывать udp-пакету от АТС ЦО source-адрес на адрес из локальный, если Ваша АТС общается с АТС ЦО по её адресу 192.168.0.x?
А цепочка OUTPUT в таблице nat здесь вообще не участвует.

[ustits]

До добавления станции проблем не было, сеть ЦО всем видна сервера доступны, трабл только в станции. Таблица была такая:

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.10 on Tue Jul 19 15:11:32 2011
*nat
:PREROUTING ACCEPT [1:64]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING ! -d 192.168.1.0/24 -i eth1 -p tcp -m multiport --dports 80,8080 -j DNAT --to-destination 192.168.1.1:3128
-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
COMMIT
# Completed on Tue Jul 19 15:11:32 2011
# Generated by iptables-save v1.4.10 on Tue Jul 19 15:11:32 2011
*mangle
:PREROUTING ACCEPT [87:7663]
:INPUT ACCEPT [65:3994]
:FORWARD ACCEPT [22:3669]
:OUTPUT ACCEPT [76:9744]
:POSTROUTING ACCEPT [98:13413]
COMMIT
# Completed on Tue Jul 19 15:11:32 2011
# Generated by iptables-save v1.4.10 on Tue Jul 19 15:11:32 2011
*filter
:INPUT ACCEPT [45:3113]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [33:3691]
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 10.0.0.33/32 -p tcp -m tcp --dport 22 -j ACCEPT
-A FORWARD -i eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Tue Jul 19 15:11:32 2011

Пользователь решил продолжить мысль 19 Июля 2011, 17:32:04:

Мануал можно читать по разному.
Зачем преобразовывать udp-пакету от АТС ЦО source-адрес на адрес из локальный, если Ваша АТС общается с АТС ЦО по её адресу 192.168.0.x?
А цепочка OUTPUT в таблице nat здесь вообще не участвует.

Это было закипание мозга.

[fisher74]

А я про эти правила Вам ничего и не говорю (явно пропуская мимо обсуждения назначение разрешающих правил в таблице filter при дефолтных правилах ACCEPT, считая, что такие дефолты выставлены на время траблшуттинга)
Я говорю про те, которые Вы добавили при вводе АТС. Я же не зря цитирую конкретные строчки

P.S. И под спойлер простынки уберите, пжлста
Пользователь решил продолжить мысль 19 Июля 2011, 17:39:20:ну может быть я бы только пару правил поправил

*nat
-A PREROUTING ! -d 192.168.1.0/24 -i eth1 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-port 3128
-A POSTROUTING ! -d  192.168.1.0/24 -s 192.168.1.0/24 -j MASQUERADE

[ustits]

За проект отвечают три человека, вот Я хочу понять в чем трабл, в моих правилах, в настройке станции, или в впн шлюзе ЦО.
Если на Ваш взгляд ничего крименальног в правилах нет, будем копать в сторонну телефонной станции.

P.S.
Лишние правила убрал, остальные поправил

[agoomboom]

Для проверки правил полезно запускать с параметром -с (--counters)
sudo iptables-save -c
Сразу видно, работает ли правило.

[drako]

Долго и упорно вкуривал за какми лядом пакеты в ЦО маскарадятся, но так и не вкурил, по причине отсутствия условий настройки сети в ЦО.

[fisher74]

Долго и упорно вкуривал за какми лядом пакеты в ЦО маскарадятся, но так и не вкурил, по причине отсутствия условий настройки сети в ЦО.

Тут можно только поверить, что сеть ЦО не предусматривает расширения сети в сторону локальной сети ustits.

Лишние правила убрал, остальные поправил

Покажете?
По поводу криминала я не могу сказать, потому как надо знать работу протокола sip. Я - не знаю, но представляю. Может после показа освеженных правил кто и подтянется из гуру в этом вопросе.

[ustits]

Крайний вариант правил

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.10 on Tue Jul 19 16:45:16 2011
*nat
:PREROUTING ACCEPT [287:19213]
:INPUT ACCEPT [44:3261]
:OUTPUT ACCEPT [74:7366]
:POSTROUTING ACCEPT [66:5626]
-A PREROUTING ! -d 192.168.1.0/24 -i eth1 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-port 3128
-A PREROUTING -d 192.168.0.1/32 -p tcp -m tcp --dport 1717:65535 -j DNAT --to-destination 192.168.1.2
-A PREROUTING -d 192.168.0.1/32 -p udp -m udp --dport 1717:65535 -j DNAT --to-destination 192.168.1.2
-A POSTROUTING ! -d  192.168.1.0/24 -s 192.168.1.0/24 -j MASQUERADE
COMMIT
# Completed on Tue Jul 19 16:45:16 2011
# Generated by iptables-save v1.4.10 on Tue Jul 19 16:45:16 2011
*mangle
:PREROUTING ACCEPT [6136:575788]
:INPUT ACCEPT [2479:208492]
:FORWARD ACCEPT [3657:367296]
:OUTPUT ACCEPT [1922:221919]
:POSTROUTING ACCEPT [5591:592197]
COMMIT
# Completed on Tue Jul 19 16:45:16 2011
# Generated by iptables-save v1.4.10 on Tue Jul 19 16:45:16 2011
*filter
:INPUT ACCEPT [1743:153793]
:FORWARD ACCEPT [38:1592]
:OUTPUT ACCEPT [1436:160809]
-A INPUT -i 192.168.0.1 -p udp -m udp --sport 1717:65535 --dport 500:65535 -j ACCEPT
-A INPUT -i 192.168.0.1 -p tcp -m tcp --sport 1717:65535 --dport 500:65535 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 10.77.1.33/32 -p tcp -m tcp --dport 22 -j ACCEPT
-A FORWARD -i eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.1.2/32 -p tcp -m tcp --dport 1717:65535 -j ACCEPT
-A FORWARD -d 192.168.1.2/32 -p udp -m udp --dport 1717:65535 -j ACCEPT
COMMIT
# Completed on Tue Jul 19 16:45:16 2011

Сеть ЦО 192.168.0.0/24 шлюз и впн на ISA сервере 192.168.0.254, на нем же правило

(Нажмите, чтобы показать/скрыть)

Persistent Routes:
  Network Address          Netmask  Gateway Address  Metric
    192.168.1.0    255.255.255.0    192.168.0.1      10

Серваку из офиса, через настройки dial-in в ad, выдается фиксированный адрес 192.168.0.1
Это правила маршрутизации с сервера, после поднятия впн канала

(Нажмите, чтобы показать/скрыть)

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
vpn.xxxxx.ru    10.0.0.1        255.255.255.255 UGH   0      0        0 eth0
192.168.0.254   *               255.255.255.255 UH    0      0        0 ppp0
vext009.socket. 10.0.0.1        255.255.255.255 UGH   0      0        0 eth0
192.168.1.0     *               255.255.255.0   U     0      0        0 eth1
10.0.0.0        *               255.255.255.0   U     0      0        0 eth0
192.168.0.0     192.168.0.1     255.255.255.0   UG    10     0        0 ppp0
default         10.0.0.1        0.0.0.0         UG    100    0        0 eth0

У ЦОшной АТС адрес 192.168.0.250
Про sip я сам понимаю мало, не телефонист, но знаю на 99% что как станцию не настраивай голос будет прередается потоком udp пакетов, порты зависят от моделей станции обычно начинаются после 10 000 и дальше.
В моем случае пока станцию настраивали в ЦО и ей выдали адрес 192.168.0.1, все пахало, а после переезда на адрес 192.168.1.2, за нат и впн перестало
По поводу

Долго и упорно вкуривал за какми лядом пакеты в ЦО маскарадятся, но так и не вкурил, по причине отсутствия условий настройки сети в ЦО.

Это правило осталось от того момента, когда не было впн в ЦО. Может я ошибаюсть но оно должно работать и сейчас, на выпуск всего что, не в впн ЦО, а просто в инет.

[fisher74]

Сеть ЦО 192.168.0.0/24 шлюз и впн на ISA сервере 192.168.0.254, на нем же правило

(Нажмите, чтобы показать/скрыть)

Persistent Routes:
  Network Address          Netmask  Gateway Address  Metric
    192.168.1.0    255.255.255.0    192.168.0.1      10

Серваку из офиса, через настройки dial-in в ad, выдается фиксированный адрес 192.168.0.1
Это правила маршрутизации с сервера, после поднятия впн канала

ИМХО, убрать все маскарадинги и портфорвардинги. Не мешайте станциям работать друг с другом

[StribogB]

http://www.ksv.ru/%D0%A0%D0%B0%D0%B1%D0%BE%D1%82%D0%B0%D0%B5%D0%BC/%D0%9F%D0%BE%D0%B4%D0%BA%D0%BB%D1%8E%D1%87%D0%B5%D0%BD%D0%B8%D0%B5%20%D0%BE%D0%B1%D0%BE%D1%80%D1%83%D0%B4%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F/Ports.shtml

Здесь по портам для SIP есть все вроде.
У ISA 2006 и ISA 2004 сервера есть проблемы с правилами для SIP, читайте документацию, т.е. правила стандартного для протокола SIP нет. Т.к. SIP использует 5060 порт для системных данных, а порты  1024-65535 для передачи голоса. И то это все можно изменить в настройках SIP сервера. Т.к. например FreeSWITCH для настройки транков использует порт 5061. Если у вас тунель открыт между двумя сетями не должно быть проблем, если открыты все порты и все разрешено между двумя сетями.
 Забыл сказать, например компания Avaya  использует по умолчанию TCP протокол, а большинство остальных UDP протокол, для протокола SIP.

[drako]

Это правило осталось от того момента, когда не было впн в ЦО. Может я ошибаюсть но оно должно работать и сейчас, на выпуск всего что, не в впн ЦО, а просто в инет.

Ошибаетесь, ваше правило маскарадит все пакеты из сети 192.168.1.0/24, а не только те что в интернет направлены. Как и сказал fisher74, убирайте лишний маскарадинг.

[fisher74]

Думаю маскарадинг лучше конкретизировать

-A POSTROUTING ! -d  192.168.1.0/24 -s 192.168.1.0/24 -o eth0 -j MASQUERADE

Я просто про интернет запамятовал.