NAT, STUN và máy lẻ SIP từ xa

Ba vấn đề khác nhau, thường bị quy cho một — bạn cần biết gì?

"Điện thoại từ xa không hoạt động" bao gồm ít nhất ba lỗi khác nhau, và chúng có cách khắc phục khác nhau:

• Tổng đài nằm sau NAT và các thiết bị đầu cuối từ xa không tìm thấy nó.
• Điện thoại nằm sau NAT và tổng đài không gửi được media trở lại nó.
• Cả hai đều nằm sau NAT, tổ hợp của hai trường hợp trên và là nơi tình trạng âm thanh một chiều thường xuất hiện.

Để phân biệt bạn đang gặp trường hợp nào trong ba trường hợp chỉ cần một câu hỏi: điện thoại có đăng ký được không? Nếu đăng ký thất bại, vấn đề là tìm tổng đài. Nếu đăng ký thành công nhưng âm thanh chỉ đi một chiều, vấn đề là dịch địa chỉ trên đường media.

Hướng thứ nhất: punch-through, được tài liệu hướng dẫn khuyến nghị trước tiên — bạn cần biết gì?

Tổng đài có sẵn một dịch vụ xuyên NAT được mô tả là phương thức ưu tiên. Khi được bật, thiết bị tự tạo một tên miền punch-through của riêng mình, ghép từ một mã truy cập bảo mật và sáu ký tự cuối của địa chỉ MAC thiết bị, trên cổng 5090. Điện thoại từ xa sau đó đăng ký vào tên miền đó thay vì vào một địa chỉ IP công cộng.

Hai hệ quả đi kèm. Thứ nhất, công trình không phải công bố hay duy trì một IP công cộng cho tổng đài, và không cần chuyển tiếp cổng. Thứ hai, tên miền gắn với thiết bị, nên thay phần cứng sẽ đổi địa chỉ — một thay đổi cần lên kế hoạch, không phải một bất ngờ để phát hiện.

Hướng thứ hai: ánh xạ cổng, khi chính sách đòi hỏi — bạn cần biết gì?

Ánh xạ cổng nghĩa là router phía trước tổng đài chuyển tiếp lưu lượng tới nó. Ba chi tiết quyết định nó có hoạt động không:

• Tổng đài phải giữ một địa chỉ IP cố định trên cổng WAN, không phải một địa chỉ thuê DHCP, nếu không quy tắc chuyển tiếp cuối cùng sẽ trỏ vào khoảng không.
• Bạn phải chuyển tiếp cả cổng báo hiệu SIP lẫn dải RTP. Dải RTP mặc định là 10010 đến 10266, và mỗi cuộc gọi chiếm hai cổng — một cho RTP và một cho RTCP — nên bốn cuộc gọi đồng thời cần tám cổng mở.
• Ánh xạ cổng bên ngoài trùng số với bên trong giúp tránh cả một nhóm vấn đề về sau. Khi địa chỉ công cộng động, tổng đài có hỗ trợ DDNS tích hợp và tài liệu hướng dẫn liệt kê các dịch vụ nhà cung cấp mà nó có thể cập nhật.

Nếu công trình không thể công bố địa chỉ cố định lẫn tên miền punch-through, hãy giữ điện thoại từ xa trong một VPN. OM20G và OM50G có sẵn client OpenVPN tích hợp, và tài liệu hướng dẫn nói rõ mục đích sử dụng: kết nối trunk SIP tới một máy chủ trên mạng riêng, với tệp chứng chỉ nạp dưới tên client.ovpn. Đây không phải một VPN truy cập từ xa đa dụng cho máy cầm tay.

STUN và hai header khắc phục âm thanh một chiều — bạn cần biết gì?

STUN được bật mặc định trên nền tảng, dùng cổng 3478, và làm mới theo khoảng mặc định 60 giây trong dải 30 đến 65535 giây. Nó đưa ra hai hành vi: đăng ký lại với máy chủ SIP, hoặc đăng ký lại và cập nhật địa chỉ NAT. Hành vi thứ hai là lựa chọn khi địa chỉ công cộng của công trình thay đổi.

Khi âm thanh chỉ đi một chiều, cách khắc phục thường không phải STUN mà là hai thiết lập kiểu địa chỉ trên trunk SIP hoặc máy lẻ:

• Kiểu địa chỉ trong header Contact của SIP — đặt là LAN hoặc WAN.
• Kiểu địa chỉ kết nối SDP (c=) — đặt là LAN hoặc WAN.

Hai thiết lập này quyết định địa chỉ mà tổng đài ghi vào báo hiệu và mô tả media của mình. Đặt ngược chúng và cuộc gọi thiết lập hoàn hảo nhưng không mang âm thanh theo một chiều nào đó. Máy lẻ từ xa cũng nên bật tự động dò máy chủ, giúp cuộc gọi đến hạ cánh đúng khi điện thoại di chuyển.

Đường truyền di động và những mạng khó — bạn cần biết gì?

Khi tổng đài nằm sau một router di động, nền tảng bổ sung một nhóm bốn tùy chọn cho hoạt động NAT 4G, từ xử lý đầy đủ tới một chế độ không cập nhật cả địa chỉ SIP lẫn SDP. Các công trình dựng trên đường truyền di động nên kiểm thử cả hai chiều thoại trước khi đưa vào hoạt động, và lưu ý rằng chỉ OM20G nhận modem USB 3G hoặc 4G để quay số ra — OM50G nói rõ là không hỗ trợ modem như vậy.

Ở phía LAN, truy cập từ xa không phải câu hỏi bảo mật duy nhất. Tổng đài hỗ trợ xác thực cổng 802.1X, khóa đăng nhập mặc định sau sáu lần thất bại mỗi ngày với thời gian khóa mười phút, danh sách trắng truy cập tối đa 20 địa chỉ, cùng các tùy chọn mã hóa báo hiệu SIP và dữ liệu thoại. Không thứ nào thay thế được một thiết kế mạng được cân nhắc kỹ, nhưng chúng đóng những cánh cửa hiển nhiên.

Danh mục kiểm tra cho một máy lẻ từ xa

• Đăng ký: địa chỉ máy chủ, cổng (mặc định 5060), tên đăng nhập, mật khẩu xác thực. Trên hết, tính năng đăng ký của chính điện thoại phải được bật và trạng thái phải được kiểm tra trên trang máy lẻ IP của tổng đài.
• Âm thanh vào: tự động dò máy chủ được bật, kiểu địa chỉ Contact và SDP khớp với đường truyền.
• Âm thanh ra: STUN được bật với hành vi cập nhật địa chỉ NAT, và dải RTP mở thông suốt từ đầu đến cuối.
• Phần còn lại: cùng thứ tự codec và chế độ DTMF như phần còn lại của hệ thống, để cuộc gọi nội bộ và cuộc gọi từ xa cư xử giống nhau.

Hãy kiểm thử từ bên ngoài tòa nhà, ở cả hai chiều, với điện thoại trên đúng loại mạng mà nó sẽ thực sự dùng. Một máy cầm tay kiểm thử trên Wi-Fi văn phòng không chứng minh được gì về chính máy đó trên một kết nối tại nhà.