NAT, STUN et postes distants SIP

Trois problèmes différents, souvent imputés à un seul : que devez-vous savoir ?

« Le téléphone distant ne fonctionne pas » recouvre au moins trois pannes distinctes, et elles ont des corrections différentes :

• Le PBX est derrière un NAT et les terminaux distants ne le trouvent pas.
• Le téléphone est derrière un NAT et le PBX ne peut pas lui renvoyer le média.
• Les deux sont derrière un NAT, ce qui combine les deux cas et correspond à l’endroit où apparaît habituellement l’audio unidirectionnel.

Une seule question suffit pour savoir lequel des trois vous observez : le téléphone peut-il s’enregistrer, tout simplement ? Si l’enregistrement échoue, le problème est de trouver le PBX. S’il réussit mais que l’audio ne passe que dans un sens, le problème est la traduction d’adresses sur le chemin média.

Voie un : le punch-through, que le manuel recommande en premier : que devez-vous savoir ?

Le PBX intègre un service de traversée de NAT présenté comme la méthode préférée. Lorsqu’il est activé, l’équipement génère son propre domaine punch-through, construit à partir d’un code d’accès de sécurité et des six derniers caractères de l’adresse MAC de l’équipement, sur le port 5090. Le téléphone distant s’enregistre alors sur ce nom de domaine au lieu d’une adresse IP publique.

Deux conséquences en découlent. D’abord, le site n’a pas à publier ni à maintenir une IP publique pour le PBX, et aucune redirection de ports n’est nécessaire. Ensuite, le domaine est lié à l’équipement : remplacer le matériel change l’adresse — un changement à anticiper, pas une surprise à découvrir.

Voie deux : la redirection de ports, lorsque la politique l’impose : que devez-vous savoir ?

La redirection de ports signifie que le routeur placé devant le PBX lui transmet le trafic. Trois détails décident si cela fonctionne :

• Le PBX doit détenir une adresse IP fixe sur son interface WAN, pas un bail DHCP, sinon la règle de redirection finira par ne pointer vers rien.
• Vous devez rediriger le port de signalisation SIP ainsi que la plage RTP. La plage RTP par défaut est 10010 à 10266, et chaque appel prend deux ports — un pour le RTP et un pour le RTCP — donc quatre appels simultanés demandent huit ports ouverts.
• Rediriger les ports externes vers les mêmes numéros en interne évite toute une classe de problèmes par la suite. Lorsque l’adresse publique est dynamique, le PBX intègre une prise en charge DDNS et le manuel liste les services de fournisseurs qu’il peut mettre à jour.

Si le site ne peut publier ni adresse fixe ni domaine punch-through, cantonnez les téléphones distants à un VPN. L’OM20G et l’OM50G embarquent un client OpenVPN intégré, et le manuel est explicite sur son usage prévu : connecter des lignes SIP à un serveur sur un réseau privé, le fichier de certificat étant chargé sous le nom client.ovpn. Ce n’est pas un VPN d’accès distant à usage général pour les combinés.

STUN, et les deux en-têtes qui corrigent l’audio unidirectionnel : que devez-vous savoir ?

STUN est activé par défaut sur la plateforme, utilise le port 3478 et s’actualise selon un intervalle de 60 secondes par défaut, dans une plage de 30 à 65535 secondes. Il offre deux comportements : se réenregistrer auprès du serveur SIP, ou se réenregistrer et mettre à jour l’adresse NAT. Le second est celui à choisir lorsque l’adresse publique du site change.

Lorsque l’audio ne passe que dans un sens, la correction n’est généralement pas STUN du tout, mais deux réglages de type d’adresse sur la ligne SIP ou le poste :

• Type d’adresse de l’en-tête SIP Contact — réglé sur LAN ou WAN.
• Type d’adresse de connexion SDP (c=) — réglé sur LAN ou WAN.

Ces deux réglages décident quelle adresse le PBX inscrit dans sa signalisation et sa description média. Inversez-les et l’appel s’établit parfaitement tout en ne transportant aucun audio dans un sens. Les postes distants doivent aussi avoir la détection automatique du serveur activée, ce qui maintient l’aboutissement correct des appels entrants lorsque le téléphone se déplace.

Liaisons mobiles et réseaux difficiles : que devez-vous savoir ?

Lorsque le PBX se trouve derrière un routeur cellulaire, la plateforme ajoute un ensemble de quatre options pour le fonctionnement en NAT 4G, allant d’une prise en charge complète à un mode qui ne met à jour ni les adresses SIP ni les adresses SDP. Les sites bâtis sur une liaison cellulaire doivent tester les deux sens de la parole avant la mise en service, et noter que seul l’OM20G accepte un modem USB 3G ou 4G pour les appels sortants — l’OM50G n’en prend explicitement aucun en charge.

Côté LAN, l’accès distant n’est pas la seule question de sécurité. Le PBX prend en charge l’authentification de port 802.1X, un verrouillage de connexion qui bloque par défaut après six tentatives infructueuses par jour pendant dix minutes, une liste blanche d’accès de 20 adresses au maximum, et des options de chiffrement de la signalisation SIP et de la charge utile vocale. Aucune ne remplace une conception réseau réfléchie, mais elles ferment les portes évidentes.

Liste de contrôle pour un poste distant

• Enregistrement : adresse du serveur, port (5060 par défaut), nom d’utilisateur, mot de passe d’authentification. En plus, l’enregistrement propre au téléphone doit être activé et l’état vérifié sur la page des postes IP du PBX.
• Audio entrant : détection automatique du serveur activée, types d’adresse Contact et SDP adaptés au chemin.
• Audio sortant : STUN activé avec le comportement de mise à jour de l’adresse NAT, et la plage RTP ouverte de bout en bout.
• Tout le reste : le même ordre de codecs et le même mode DTMF que le reste du système, pour que les appels internes et distants se comportent de la même façon.

Testez depuis l’extérieur du bâtiment, dans les deux sens, avec le téléphone sur le type de réseau qu’il utilisera réellement. Un combiné testé sur le Wi-Fi du bureau ne prouve rien quant au même combiné sur une connexion domestique.