NAT, STUN y extensiones SIP remotas

Tres problemas distintos, que normalmente se achacan a uno: ¿qué debes saber?

«El teléfono remoto no funciona» abarca al menos tres fallos distintos, y tienen soluciones diferentes:

• La PBX está detrás de NAT y los terminales remotos no la encuentran.
• El teléfono está detrás de NAT y la PBX no puede enviarle los medios de vuelta.
• Ambos están detrás de NAT, lo que combina los dos casos y es donde suele aparecer el audio unidireccional.

Determinar cuál de los tres casos se está mirando requiere una sola pregunta: ¿consigue registrarse el teléfono? Si el registro falla, el problema es encontrar la PBX. Si el registro funciona pero el audio va en un solo sentido, el problema es la traducción de direcciones en el camino de los medios.

Vía uno: perforación, que el manual recomienda en primer lugar: ¿qué debes saber?

La PBX incluye un servicio de atravesar NAT que se describe como el método preferido. Cuando está activado, el dispositivo genera un dominio de perforación propio, formado por un código de acceso de seguridad y los seis últimos caracteres de la dirección MAC del dispositivo, en el puerto 5090. El teléfono remoto se registra entonces en ese nombre de dominio en lugar de en una dirección IP pública.

De esto se derivan dos cosas. Primero, la instalación no tiene que publicar ni mantener una IP pública para la PBX, y no hace falta reenvío de puertos. Segundo, el dominio está ligado al dispositivo, así que sustituir el hardware cambia la dirección: un cambio que hay que prever, no una sorpresa que descubrir.

Vía dos: mapeo de puertos, cuando la política lo exige: ¿qué debes saber?

El mapeo de puertos significa que el router situado delante de la PBX le reenvía el tráfico. Tres detalles deciden si funciona:

• La PBX debe tener una dirección IP fija en su interfaz WAN, no una concesión DHCP, o la regla de reenvío acabará apuntando a la nada.
• Hay que reenviar el puerto de señalización SIP además del rango RTP. El rango RTP predeterminado es 10010 a 10266, y cada llamada ocupa dos puertos —uno para RTP y otro para RTCP—, así que cuatro llamadas simultáneas necesitan ocho puertos abiertos.
• Mapear los puertos externos a los mismos números en el interior ahorra una clase de problemas después. Cuando la dirección pública es dinámica, la PBX incluye soporte DDNS y el manual enumera los servicios de proveedor que puede actualizar.

Si la instalación no puede publicar ni una dirección fija ni un dominio de perforación, mantenga los teléfonos remotos en una VPN. El OM20G y el OM50G llevan un cliente OpenVPN integrado, y el manual es explícito sobre su uso previsto: conectar troncales SIP a un servidor en una red privada, con el archivo de certificado cargado como client.ovpn. No es una VPN de acceso remoto de propósito general para teléfonos.

STUN y las dos cabeceras que arreglan el audio unidireccional: ¿qué debes saber?

STUN está activado de forma predeterminada en la plataforma, usa el puerto 3478 y se refresca con un intervalo predeterminado de 60 segundos dentro de un rango de 30 a 65535 segundos. Ofrece dos comportamientos: volver a registrarse con el servidor SIP, o volver a registrarse y actualizar la dirección NAT. El segundo es el que hay que elegir cuando cambia la dirección pública de la instalación.

Cuando el audio va en un solo sentido, la solución normalmente no es STUN, sino dos ajustes de tipo de dirección en el troncal SIP o la extensión:

• Tipo de dirección de la cabecera Contact de SIP: configurado a LAN o WAN.
• Tipo de dirección de conexión SDP (c=): configurado a LAN o WAN.

Estos dos ajustes deciden qué dirección escribe la PBX en su señalización y en su descripción de medios. Póngalos al revés y la llamada se establecerá perfectamente mientras no transporta audio en un sentido. Las extensiones remotas deberían tener además la detección automática de servidor activada, que mantiene las llamadas entrantes llegando correctamente cuando el teléfono está en movimiento.

Enlaces móviles y redes incómodas: ¿qué debes saber?

Cuando la PBX está detrás de un router celular, la plataforma añade un conjunto de cuatro opciones para el funcionamiento con NAT 4G, desde el tratamiento completo hasta un modo que no actualiza ni las direcciones SIP ni las SDP. Las instalaciones apoyadas en un enlace celular deberían probar ambos sentidos de la voz antes de entrar en servicio, y tener en cuenta que solo el OM20G admite un módem USB 3G o 4G para la marcación saliente: el OM50G no admite ninguno, explícitamente.

En el lado de la LAN, el acceso remoto no es la única cuestión de seguridad. La PBX admite autenticación de puerto 802.1X, un bloqueo de inicio de sesión que se activa por defecto con seis intentos fallidos al día y un bloqueo de diez minutos, una lista blanca de acceso de hasta 20 direcciones, y opciones de cifrado de la señalización SIP y de la carga útil de voz. Nada de esto sustituye a un diseño de red meditado, pero cierra las puertas evidentes.

Lista de comprobación para una extensión remota

• Registro: dirección del servidor, puerto (5060 por defecto), usuario y contraseña de autenticación. Además, el registro del propio teléfono debe estar activado y su estado debe comprobarse en la página de extensiones IP de la PBX.
• Audio entrante: detección automática de servidor activada y tipos de dirección Contact y SDP ajustados al camino.
• Audio saliente: STUN activado con el comportamiento de actualizar la dirección NAT, y el rango RTP abierto de extremo a extremo.
• Todo lo demás: el mismo orden de códecs y el mismo modo DTMF que el resto del sistema, para que las llamadas internas y remotas se comporten igual.

Pruebe desde fuera del edificio, en ambos sentidos, con el teléfono en el tipo de red que usará realmente. Un teléfono probado en el Wi-Fi de la oficina no demuestra nada sobre ese mismo teléfono en una conexión doméstica.