nefungující Keep-alive u nového exUPC IPv6

[daviddvbc]

Ahoj, prosím o radu.

Mám IP Telefon Polycom Soundpoint IP321, a používám na něm Odorik. Tento telefon neumí iniciovat keep-alive, takže jsem jej měl vždy u Odoriku zapnutý.

U předchozího internetu od Netboxu v Brně jsem měl zaplý port forward, a příchozí i odchozí hovory byly spolehlivé.

Nyní jsem přešel na DOCSIS od Vodafone s modemem Compal, a jako nový zákazník jsem dostal IPv6 (DS-Lite).
U tohoto připojení nelze nastavit port forward, a UPnP se mi neosvědčilo.

Nyní se mi tedy nikdo nedovolá.

Nevíte někdo, jak problém vyřešit ?

Mohl bych požádat Vodafone o IPv4, kde port forward jde, ale to se mi zatím kvůli tomuto moc nechce.

[Pitomec]

SIP standardně používá UDP port 5060, který není potřeba směrovat (jedině v případě, kdy je s tím portem problém, tak ho změnit na jiný - třeba na 5061, ale i tak by to mělo routerem projít bez nutnosti nastavení port forwardingu). Problém bych spíš viděl v tom, že telefon není nakonfigurovaný na provoz s IPv6. Ovšem popravdě řečeno, tak se dobrovolně u exUPC připravit o veřejnou IPv4 a nechat si zmetka DS-Lite, hmm...

[daviddvbc]

No, zatím (DOČASNĚ) jsem to vyřešil zkrácením registrační doby na 110 vteřin.
Vím, že to není dobré. Připadám si, jako kdyby jsem tím způsoboval DDoS.

Jak bych změnil telefon na IPv6 ?
Jediná IP adresa je sip.odorik.cz, což bych čekal že DNS dokáže přeměnit v IPv6 adresu.

Porty mám 6688, jak lokální, tak registrační. Změnou na 5060 se nic nezměnilo.

Pošlu foto nastavení telefonu.

Co myslíte, dá se s tím něco dělat ?
Jak moc velkou zátěž působím registrací na 110 sekund ?


Díky

[Pitomec]

Dobu registrace mám u několika telefonů nastavenou na 60 sekund již spoustu let a zjevně to žádné obtíže nečiní.

Ohledně IPv6 tady lze dohledat nějaké starší diskuze, ale osobně si myslím, že VoIP asi stále funguje pouze na IPv4, což je v tvém případě za NAT poskytovatele. Problém by s tím teoreticky být neměl (běžně se provozuje VoIP i na linkách O2, kde také obvykle není veřejná IPv4 a v pohodě), nicméně pokud má člověk možnost mít veřejnou IPv4, tak není důvod toho nevyužít (mnozí by ji chtěli mít a mají smůlu, což naopak u VF zatím nehrozí).

[xsouku04]

Keep alive lze zapnout ve směru od Odorik.cz -> telefonu. Je to právě pro ty případy, že to telefon neumí. Když to telefon umí, je vždy lepší, aby keep alive posílal sám telefon, protože po krátkém výpadku internetu se pak spojení samo obnoví.
Takže doporučuji si u nastavení linky zapnout keep alive. Pak by mohlo stačit zkrácení doby registrace třeba na 10 minut. Přeregistrace jednou za třeba 110 vteřin je také možná, když to dělá jen menšina linek, problémy nám to nezpůsobuje. Nejkorektnější je, co jsem napsal výše. Tedy zapnout keep alive, snížit dobu přeregistrace z obvyklé hodiny na třeba 10 minut.

[pe.havel]

@hardenshow uvádí, že Keep-alive už má ze směru od Odoriku zapnuté, tak to bohužel nepomůže.
Co se týče IPv6, tak tuším, že jsem to už s Odorik dříve řešil, že to pro SIP nepodporují (doména sip.odorik.cz ani nemá záznam AAAA).
Nicméně, pro provoz VoIP vůbec není potřeba veřejná adresa, stačí v routerech funkční NAT (bez toho by nešlo víceméně nic). Sám mám mnoho instalací za NATy. Tím to podle mě vůbec nebude. To, co @hardenshow popisuje je zvláštní, pokud se port-forwarduje z veřejné IP do vnitní LAN (což podle mě není bezpečné), tak není potřeba Keep-alive (udržení spojeni přes NAT) a obráceně.

Říkám si, jestli nemá vaše NAT kratší dobu na vypršení spojení, než jak často odesílá Odorik Keep-Alive? To by mě samotného zajímalo, jak často, sám totiž nikde nepoužívám. Pokud máte registraci na 110 sekund, dá se dovolat i těsně před další registrací? Jestli není telefon dostupný jen chvíli po registraci, což by potvrdilo krátké udržení spojení přes NAT. Dokud jste měl veřejnou IPv4 s port-forward, tak NAT nebyl potřeba.

Pošlete foto nastavení telefonu, třeba někoho něco trkne.

[alfi]

IPv6 to nebude, to Odorik vůbec na SIP serveru nemá

Jestli je možnost - vypadá, že SoundPoint to umí, zkusil bych zapnout TLS nebo alespoň TCP - z principu má delší timeouty pro NAT po cestě. A do TLS pak nevidí ani router, kdyby chtěl zkoušet nějaké vlastní úpravy provozu. Nehledě na to, že by TLS měl být už dávno výchozí stav s ohledem na bezpečnost

[xsouku04]

@hardenshow uvádí, že Keep-alive už má ze směru od Odoriku zapnuté, tak to bohužel nepomůže.
Co se týče IPv6, tak tuším, že jsem to už s Odorik dříve řešil, že to pro SIP nepodporují (doména sip.odorik.cz ani nemá záznam AAAA).
Nicméně, pro provoz VoIP vůbec není potřeba veřejná adresa, stačí v routerech funkční NAT (bez toho by nešlo víceméně nic). Sám mám mnoho instalací za NATy. Tím to podle mě vůbec nebude. To, co @hardenshow popisuje je zvláštní, pokud se port-forwarduje z veřejné IP do vnitní LAN (což podle mě není bezpečné), tak není potřeba Keep-alive (udržení spojeni přes NAT) a obráceně.

Říkám si, jestli nemá vaše NAT kratší dobu na vypršení spojení, než jak často odesílá Odorik Keep-Alive? To by mě samotného zajímalo, jak často, sám totiž nikde nepoužívám. Pokud máte registraci na 110 sekund, dá se dovolat i těsně před další registrací? Jestli není telefon dostupný jen chvíli po registraci, což by potvrdilo krátké udržení spojení přes NAT. Dokud jste měl veřejnou IPv4 s port-forward, tak NAT nebyl potřeba.

Pošlete foto nastavení telefonu, třeba někoho něco trkne.

No jestli tam není ještě něco jako špatně fungující SIP ALG nebo jená "optimalizace" routeru pro SIP, které místo aby spojení udrželo, tak jej okamžitě zavře. Tam pak stačí změnit port na sip.odorik.cz:6688 . SIP ALG se pozná podle toho, že schovává neveřejnou adresu, která u nás na webu pak není vidět. A nebo nám to nastaveník keep alive směr odorik->zákazník nefunguje? Na to bych se také mohl podívat, kdybych věděl číslo linky.

Je pravda, že bychom asi mohli experimentálně povolit ipv6, třeba klidně pod jinou doménou, aby to měl uživatel pod kontrolou.

Použít TCP nebo TLS je také možnost.

[daviddvbc]

Klidně se na to podívejte, č. linky je jsem vám (p. Soukup) poslal na mail.D

Zatím jsem to vyřešil zkrácením registrace na 60s, a vše funguje ok.

Chtěl jsem přidat fota nastavení IP telefonu a Docsis modemu, i Odoriku, ale je tu limit 3, tak jsem to dal na G drive.




Navíc to musí být v ZIPu
Vím, že je to blbé, musí se to stáhnout, někdo se bojí viru...

Pokud někoho napadá lepší způsob, napište jej prosím.

Díky.

[Pitomec]

Port u lokální IP adresy je defaultně 5060 a je dobré ho změnit na např. 5061, 5062 apod. Proč jsi dal zrovna 6688, což je server port u Odoriku? Jinak SIP má být přes UDP a ne TCP.