SIP Client via VPN

[basti1985]

Hallo,
ich versuche mich gerade mittels VPN an meinem Asterisk zu verbinden.

SIP/VPN Client -- Internet -- router/VPN Server -- Asterisk (LAN)

Die Anmeldung am asterisk via vpn läuft, ich kann auch von intern (LAN) den via VPN Angebundenen SIP Client anrufen.

Versuche ich via VPN im LAN anzurufen erhalte ich

SIP/2.0 401 Unauthorized

debpbx*CLI> pjsip list contacts

  Contact:  <Aor/ContactUri..............................> <Hash....> <Status> <RTT(ms)..>
==========================================================================================

  Contact:  731/sip:[email protected]:5060                163a967d99 Avail        15.722
  Contact:  734/sip:[email protected]:5060                    1b1aa8cbac Avail        62.180

So far so good. When I try to an other extension I get a timeout.
tcpdump:

root@debpbx:/etc/asterisk# tcpdump -ni enp0s15 host 10.8.0.143 and not port 80
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on enp0s15, link-type EN10MB (Ethernet), capture size 262144 bytes
13:03:04.086687 IP 10.8.0.143.5060 > 192.168.30.28.5060: SIP: INVITE sip:[email protected] SIP/2.0
13:03:04.087364 IP 192.168.30.28.5060 > 10.8.0.143.5060: SIP: SIP/2.0 401 Unauthorized
13:03:04.126101 IP 10.8.0.143.5060 > 192.168.30.28.5060: SIP: ACK sip:[email protected] SIP/2.0
13:03:09.054643 IP 10.8.0.143.5060 > 192.168.30.28.5060: SIP
13:03:14.112561 IP 192.168.30.28.5060 > 10.8.0.143.5060: SIP: OPTIONS sip:[email protected]:5060 SIP/2.0
13:03:14.162609 IP 10.8.0.143.5060 > 192.168.30.28.5060: SIP: SIP/2.0 200 Ok
13:03:19.057752 IP 10.8.0.143.5060 > 192.168.30.28.5060: SIP
13:03:29.060765 IP 10.8.0.143.5060 > 192.168.30.28.5060: SIP
13:03:44.672509 IP 10.8.0.143.5060 > 192.168.30.28.5060: SIP


root@debpbx:/etc/asterisk# grep -ri 10.8.0
sip_general_additional.conf:localnet=10.8.0.0/24
pjsip.transports.conf:local_net=10.8.0.0/24

 

[gehtdoch]

Unauthorized heißt, dass sich der SIP-Client anmelden soll. Das bestätigt der Client auch (-> ACK). Danach kommt ein nicht weiter qualifiziertes SIP-Packet und die Verbindung geht nicht weiter - was wohl daran liegen wird, dass das Paket zu groß ist und nicht durch den VPN-Tunnel passt (die Pakete mit dem Digest beim Invite beim ausgehenden Call sind üblicherweise erheblich größer als alle anderen Pakete - deshalb geht auch die andere Richtung oder die Registrierung oder der ankommende Call oder die Options). Du musst seitens des VPN-Kanals sicherstellen, dass die Pakete eine bestimmte Größe nicht überschreiten! OpenVPN z.B. kennt da eine Möglichkeit, zwangsweise die Pakete zu fragmentieren. Siehe --fragment und / oder --mssfix.

 

[basti1985]

Danke für den Tip mit der Paketgröße. Problem gelöst