SIPトラフィックがスイッチに入るが出てこないのはどうしてですか?


15

バックグラウンド

SIP電話機を新しいルーターの後ろに登録して、新しいオフィスに切り替えるのに苦労しています。PBXはオフサイトでホストされています。私はプロバイダーと協力して、いくつかの異なるアプローチを試みました。通常のNATを試して、NAT対応セッションボーダーコントローラーに接続しました。siproxd(pfSenseパッケージ)を使用して、SIP登録要求をインターセプトし、電話に代わって登録しようとしました。最後に、ローカルネットワーク上のsiproxdデーモンに登録するように電話を手動で構成しようとしました。

テストを通して、電話機が次のすべてを正常に実行することを確認しました。

  • ホストされたFTPサーバーにIPアドレスで連絡する
  • 上記のサーバーから構成をダウンロードします
  • DNSクエリを実行して、NTPサーバーのIPアドレスを解決します
  • NTPサーバーを照会して時間を設定します
  • DNSクエリを実行して、SIPサーバーのIPアドレスを解決します

症状

電話機がすべての事前登録タスクを正常に完了した後、登録試行がpfSenseボックスまたはプロバイダーのPBXにヒットすることはありません。私の側ではsiproxdで最高レベルのデバッグを有効にしましたが、TCP接続またはUDPパケットが見られませんでした。ただし、ワークステーションからポート5060への単純なtelnetは、予想されるログメッセージを生成します。pfSenseボックスでパケットキャプチャを実行すると、SIPトラフィックの試行はまったくありませんでした。

一体何?

私を徹底的に困惑させ、この質問をするようになった私の最後のトラブルシューティング手順は次のとおりでした。まず、電話機が接続されているスイッチポートをワークステーションのスイッチポートにミラ​​ーリングしました。インターフェイス上のすべてのトラフィックのパケットキャプチャを実行しました。驚いたことに、私は電話からSIP登録パケットが来るのを見ました。以下に例を示します。

電話パケットキャプチャ

明らかに、電話機はPBXに登録しようとしています(これらも正しいIPアドレスです)。

次のステップは、pfSenseルーターのLAN側に接続するスイッチポートをミラーリングすることでした。スイッチから出てくる172.200.22.102電話からのFTP、NTP、およびDNSトラフィックはすべて見ましたが、SIPパケットのトレースは見ませんでした。これは完全に私を困惑させます!スイッチ内でSIPトラフィックのみが消失する原因は何ですか?

環境

スイッチ構成

IPアドレス172.22.200.102の電話はこのスイッチのポート4にあり、ルーターLANリンクはポート22にあります。

VLAN設定

VLAN 200の参加

必要になる可能性があるその他の設定を共有できます。


パケットをルーターのLANインターフェースに向けるのが常識であることは知っていますが、当たり前のことを考えましょう。Wiresharkに電話から送信されるパケットの宛先MACアドレスを表示し、それらが実際にルーターのMACアドレスであることを確認してもらえますか?何らかの理由でそうでない場合は、ミラーポートでそれらが表示されない理由を説明します。
MadHatter

@Mad:ルーターの適切な宛先MACアドレスを確認
hobodave

くそー。まあ、それはチェックする価値がありました。より良いアイデアを持っていないことを申し訳ありません。
MADHATTER

回答:


16

この問題に約40時間を費やして解決策を見つけました。

「Auto DoS」保護を有効にする設定がスイッチにあります。明らかに、一致する送信元ポートまたは宛先ポートを持つTCPまたはUDPトラフィックがblat攻撃である見なされ、パケットがドロップされます。これは、SIPトラフィックが(常に?)送信元ポートと宛先ポートが5060であることにしばしば依存するため、途方もなく近視眼的です。

テキストによる説明が不十分な場合:

ここに画像の説明を入力してください


うわー、それは残忍です。それを見つける良い仕事。ログにも表示されないはずですよね?
gravyface

@gravyface:正しい、何も記録されていません。すべてのログは、基本的なリンクアップ/ダウンおよび認証試行であることを示す
hobodave

2
わあああああ ナイスジョブHP!
voretaq7

1
それは最悪です。(たとえば)NTPやサーバーサーバーDNSもねじ込みます。voretaqの言葉では、「すてきな仕事。HP」。ただし、hobodaveは十分に診断されています。ビールに値する!
MadHatter

1
+1-今日、別のアプリケーションの同じスイッチでこれに遭遇しました。SonicWALLの「シングルサインオン」プロトコルは、同じ送信元/宛先ポートでUDPデータグラムを使用します。イーサネットタップで追跡する前にここを確認してほしいと思います。入力ポートをポートミラーリングすると、「問題のある」フレームも削除されることに注意してください。完全に失敗、HP。1月にリリースされたPK 1.15ファームウェアには、この機能がまだ残っていることが確認できます。
エヴァンアンダーソン
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.