[PJSIP] Inbound-Registrierungen IP-beschränken

[Download-Fritz]

Hallo und guten Morgen!

Ich steige gerade von Asterisk 11 auf Asterisk 14.4.0 und damit auch von chan_sip auf PJSIP um. Auch nach langer Recherche ist mir jedoch nicht klar, wie ich es schaffe, dass die TCP-Verbindung für die Kommunikation nach außen (mit dem Provider) offen ist, aber gleichzeitig nur Registrierungen aus dem lokalen Netz zulässt. Mehrere TCP-Verbindungen lassen sich nicht konfigurieren (sonst hätte es eine für in- und eine für outbound getan), Identify funktioniert leider nur für ein Gerät (wenn ich eine Netzmaske eingebe, werden alle Geräte aus diesem Bereich auf den ersten Endpoint "festgelegt" (feste IPs gibt es nicht), der diese Maske matcht - mit allen anderen bekommt man "could not authenticate") und für ACL müsste ich alle IPs meines Providers kennen und er dürfte diese auch nicht ändern. Gibt es da eine gute Lösung? Für jeden Endpoint eine Netzmaske definieren zu können wäre mir am liebsten (brauche aber im Prinzip nur eine für alle).

EDIT: Muss der Port 5060 überhaupt für den Provider (also nach außen, eingehend) offen sein? Wenn nicht, könnt' ich den ja einfach blocken.

Vielen Dank und einen schönen Tag noch!

 

[rentier-s]

für ACL müsste ich alle IPs meines Providers kennen und er dürfte diese auch nicht ändern

Warum das? Du brauchst doch nur eine ACL definieren und diese mit acl=... den Endpoints zuordnen :gruebel:

Muss der Port 5060 überhaupt für den Provider (also nach außen, eingehend) offen sein?

Mit der Frage kann man endlose Diskussionen auslösen. Fakt ist, Asterisk muss für den Provider auf dem Port erreichbar sein, den er im Contact angibt. Theoretisch kann das auch durch ein Keepalive erreicht werden. Je nach NAT Typ macht das aber keinen Unterschied zum (imho zuverlässigeren) Portforwarding.

 

[Download-Fritz]

Danke für die Antwort!

Warum das? Du brauchst doch nur eine ACL definieren und diese mit acl=... den Endpoints zuordnen :gruebel:

In der Beispielkonfiguration hab' ich davon nix gesehen und die "Entity Relationships" (https://wiki.asterisk.org/wiki/display/AST/PJSIP+Configuration+Sections+and+Relationships) zeigen auch keine Verbindung zwischen Endpoint und ACL. Kann es leider gerade wegen meines provisorischen NAT-Chaos nicht testen. Sollte das funktionieren, ist das genau, was ich suche.

EDIT: Hab's getestet, indem ich einfach meinen lokalen Client blocke - tatsächlich funktioniert's! Vielen Dank!

 

[rentier-s]

Das findet sich tatsächlich nicht ausdrücklich in der conf.sample, hier stehts ganz unten versteckt.

In der pjsip Config kann man eigentlich alles, was mit type=bla definiert wird, andernorts mit bla=blub einbinden.

Du könntest den Thread Titel dann bitte noch um das Prefix "gelöst" ergänzen, dazu den 1. Beitrag bearbeiten und auf Erweitert.