الشبكات
NAT وSTUN والتحويلات SIP عن بُعد
في هذه الصفحة
- ثلاث مشكلات مختلفة، يُلام عليها واحدة عادةً — ماذا تحتاج أن تعرف؟
- المسار الأول: الاختراق، وهو ما يوصي به الدليل أولًا — ماذا تحتاج أن تعرف؟
- المسار الثاني: تخطيط المنافذ، حين تفرضه السياسة — ماذا تحتاج أن تعرف؟
- STUN، والتروستان اللذان يصلحان الصوت أحادي الاتجاه — ماذا تحتاج أن تعرف؟
- الوصلات المتنقلة والشبكات الصعبة — ماذا تحتاج أن تعرف؟
- قائمة فحص للتحويلة عن بُعد
ثلاث مشكلات مختلفة، يُلام عليها واحدة عادةً — ماذا تحتاج أن تعرف؟
عبارة «الهاتف عن بُعد لا يعمل» تغطي ثلاث حالات مختلفة على الأقل، ولكل منها إصلاح مختلف:
- المقسم خلف NAT والأجهزة الطرفية عن بُعد لا تستطيع الوصول إليه.
- الهاتف خلف NAT والمقسم لا يستطيع إعادة إرسال الوسائط إليه.
- كلاهما خلف NAT، وهذا يجمع الحالتين وهو حيث يظهر الصوت أحادي الاتجاه عادةً.
وتمييز أي من الثلاث أنت أمامه يحتاج سؤالًا واحدًا: هل يستطيع الهاتف التسجيل أصلًا؟ فإن فشل التسجيل فالمشكلة في العثور على المقسم. وإن نجح التسجيل وتدفّق الصوت في اتجاه واحد، فالمشكلة في ترجمة العناوين على مسار الوسائط.
المسار الأول: الاختراق، وهو ما يوصي به الدليل أولًا — ماذا تحتاج أن تعرف؟
يتضمن المقسم خدمة لعبور NAT موصوفة بأنها الطريقة المفضّلة. وعند تشغيلها يولّد الجهاز نطاق اختراق خاصًا به، مبنيًا من رمز وصول أمني وآخر ستة أحرف من عنوان MAC للجهاز، على المنفذ 5090. ثم تسجّل الهواتف عن بُعد على اسم النطاق ذلك بدل عنوان IP عام.
ويترتب على ذلك أمران. الأول أن الموقع لا يحتاج إلى نشر عنوان IP عام للمقسم أو صيانته، ولا مطلوب أي تمرير للمنافذ. والثاني أن النطاق مرتبط بالجهاز، فتغيير العتاد يغيّر العنوان — وهذا تغيير يجب التخطيط له لا مفاجأة تُكتشف.
المسار الثاني: تخطيط المنافذ، حين تفرضه السياسة — ماذا تحتاج أن تعرف؟
تخطيط المنافذ يعني أن الموجّه الذي أمام المقسم يمرّر له الحركة. وثلاثة تفاصيل تحسم نجاحه:
- يجب أن يحمل المقسم عنوان IP ثابتًا على واجهة WAN لديه، لا إيجار DHCP، وإلا انتهت قاعدة التمرير بالإشارة إلى لا شيء.
- يجب تمرير منفذ إشارات SIP إلى جانب نطاق RTP. ونطاق RTP الافتراضي هو 10010 إلى 10266، وتأخذ كل مكالمة منفذين — واحدًا لـRTP وآخر لـRTCP — فتحتاج أربع مكالمات متزامنة إلى ثمانية منافذ مفتوحة.
- تخطيط المنافذ الخارجية على الأرقام نفسها داخليًا يوفّر صنفًا من المشكلات لاحقًا. وحيث يكون العنوان العام ديناميكيًا، فالمقسم يدعم DDNS مدمجًا ويسرد الدليل خدمات المزوّدين التي يستطيع تحديثها.
وإذا لم يستطع الموقع نشر عنوان ثابت أو نطاق اختراق، فأبقِ الهواتف عن بُعد على VPN. فـOM20G وOM50G يحملان عميل OpenVPN مدمجًا، والدليل صريح في استخدامه المقصود: ربط خطوط SIP بخادم على شبكة خاصة، مع تحميل ملف الشهادة باسم client.ovpn. وهو ليس VPN أغراض عامة للوصول عن بُعد من الأجهزة المحمولة.
STUN، والتروستان اللذان يصلحان الصوت أحادي الاتجاه — ماذا تحتاج أن تعرف؟
STUN مشغّل افتراضيًا في المنصة، ويستخدم المنفذ 3478، ويُحدَّث بفاصل افتراضي قدره 60 ثانية ضمن نطاق من 30 إلى 65535 ثانية. ويقدّم سلوكين: إعادة التسجيل على خادم SIP، أو إعادة التسجيل وتحديث عنوان NAT. والثاني هو الخيار حين يتغيّر العنوان العام للموقع.
وعندما يتدفق الصوت في اتجاه واحد، فالإصلاح ليس STUN عادةً بل إعدادان لنوع العنوان في خط SIP أو في التحويلة:
- نوع العنوان في ترويسة SIP Contact — يُضبط على LAN أو WAN.
- نوع العنوان في اتصال SDP (c=) — يُضبط على LAN أو WAN.
وهذان الإعدادان يحددان أي عنوان يكتبه المقسم في إشاراته ووصفه للوسائط. واعكسهما فتُنشأ المكالمة على أكمل وجه بينما لا تحمل صوتًا في أحد الاتجاهين. كما ينبغي أن يكون كشف الخادم التلقائي مشغّلًا في التحويلات عن بُعد، لتبقى المكالمات الداخلة تهبط في موضعها الصحيح عندما يكون الهاتف متنقلًا.
الوصلات المتنقلة والشبكات الصعبة — ماذا تحتاج أن تعرف؟
حيث يكون المقسم خلف موجّه خلوي، تضيف المنصة أربعة خيارات لتشغيل NAT على 4G، تتراوح من المعالجة الكاملة إلى وضع لا يحدّث فيه عناوين SIP ولا SDP. وينبغي للمواقع المبنية على وصلة خلوية اختبار اتجاهي الكلام قبل التشغيل، مع ملاحظة أن OM20G وحده يقبل مودم USB بجيل 3G أو 4G للطلب الصادر — أما OM50G فلا يدعمه صراحةً.
وعلى جانب LAN، ليس الوصول عن بُعد سؤال الأمان الوحيد. فالمقسم يدعم مصادقة المنافذ 802.1X، وقفل تسجيل الدخول بست محاولات فاشلة يوميًا افتراضيًا مع قفل عشر دقائق، وقائمة وصول بيضاء حتى 20 عنوانًا، وخيارات تشفير لإشارات SIP وحمولة الصوت. ولا شيء من ذلك يغني عن تصميم شبكة مدروس، لكنه يغلق الأبواب الواضحة.
قائمة فحص للتحويلة عن بُعد
- التسجيل: عنوان الخادم، والمنفذ (5060 افتراضيًا)، واسم المستخدم، وكلمة مرور المصادقة. ويُضاف إلى ذلك أن يكون تسجيل الهاتف نفسه مشغّلًا وأن تُفحص الحالة في صفحة تحويلات IP بالمقسم.
- الصوت الداخل: كشف الخادم التلقائي مشغّل، ونوعا عنوان Contact وSDP مطابقان للمسار.
- الصوت الصادر: STUN مشغّل بسلوك تحديث عنوان NAT، ونطاق RTP مفتوح من الطرف إلى الطرف.
- وكل ما عدا ذلك: ترتيب الترميزات ووضع DTMF نفساهما كما في بقية النظام، ليتصرف الاتصال الداخلي والاتصال عن بُعد بالطريقة نفسها.
اختبر من خارج المبنى، في الاتجاهين، والهاتف على نوع الشبكة الذي سيستخدمه فعلاً. فجهاز مُختبَر على شبكة Wi-Fi في المكتب لا يثبت شيئًا عن الجهاز نفسه على وصلة منزلية.
