Probleme mit SIP - Dringend [GELÖSST]

[a-tobias]

Also, ich hab be mir Asterisk auf meinem Server laufen (Linux Debian 2.6 Kernel)

Jetzt habe ich im lokalen Netzwerk mehrere Softphones installiert, das funktioniet auch wunder bar.

Der Server sitzt noch momentan hinter einem Router. Ich habe aber eine VPN zu einem Kollegen eingerichtet (die auch top funktioniert). Diese Endet bei ihm auf einem Linux Server. Der Server läuft als Router am Netzt ud ist natrülich mit iptables konfiuriert, lässt aber den Datenverkehr von der VPN passieren und leitet das an seinen Rechner weiter.

Jetzt das Problem. Er kann mich über das Softphone anrufen, aber ich ihn nicht. ????!!!!

Ich weiß auch nicht woran das liegt. Das SIP - Protokoll bekommt einfach keine Verbindung.

da kommt dann sowas : WARING : Foridden - wrong password to authenticate 10.8.x.x
oder :
WARNING : Forbidden - wrong password to INVTE ...

Das komische ist, de zeigt auch immer die IP bei den Fehlern an, die eientlich der Endpunkt der VPN auf meiner Seite ist

Hat jemand ne ahnung... ich verzweifel langsam

[daFreak]

sind alle ports freigeschaltet? kannst ja vielleicht mal dein iptables-script posten... wenn zu lang ist nach http://nopaste.debianforum.de/

[fake]

schon mal versucht den Netzwerkverkehr näher zu untersuchen, z.B. mit ethereal ?

http://linux-weblog.de

[chroiss]

ich versuche gerade das nachzuvollziehen ....

wer ist denn das VPN Gateway ? ( Dein Router ?? )

das wäre schon mal sehr hilfreich bei der Fehlersuche ...

Was fürn VPN habt ihr ???

Benutzt dein Kumpel einen externen sip Account oder kriegt er einen internen von Dir durch den Asterisk über dein VPN Gateway ? Wenn ja habt ihr das schon mal ohne VPN versucht ???

im moment kann man da sonst nur raten ...


GRUSS Chroiss

[a-tobias]

Also wir benutzen OPEN VPN.
der tunnel endet auf meinem server und auf seinem.
SIP Account bekommt er von meinem Asterisk. Der Plastik Router hat n VPN Pass Through.

WIe gesagt, er kann mich anrufen, aber ich nicht ihn. Außerdem kann er sich selbst nicht anrufen.

Ich hab mir mal dendebug von asterisk angeguckt. der scheint immer sein telefon als busy zu erkennen und springt dann nach meinem wählplan sosoft zur mailbox.

Wir haben gestern beide mal tcpdump an tun0 laufen lassen. Die UDP Pakete von Asterisk sind auf beidenn Rechnenr zu sehen und die Kommunizieren auch. Hier mal die ausgabe von meinem TCPdump :

20:32:59.605619 IP localhost.sip > olli.4275: UDP, length: 728
20:32:59.684512 IP olli.4275 > localhost.sip: UDP, length: 436
20:32:59.684695 IP localhost.sip > olli.4275: UDP, length: 350
20:32:59.684880 IP localhost.sip > olli.4275: UDP, length: 356
20:32:59.771999 IP olli.4275 > localhost.sip: UDP, length: 436

olli steht in hosts mit der ip adresse von seinem rechner hinter seinem router. Die scheint auch korrekt zu sein

[chroiss]

Was passiert wenn Dein Kumpel sich bei deinem Asterisk mit seinem softphone anmeldet.

Code: Alles auswählen

asterisk -vvvvr

Registriert er sich ? ich schätze nicht...
Melde Du Dich mal neu an und kuck was Asterisk dazu sagt , Asterisk müsste in etwa sowas ausspucken

Code: Alles auswählen

    -- Registered SIP '1000' at 192.168.10.10 port 5060 expires 1800
    -- Saved useragent "X-Lite release 1103m" for peer 1000

Falls das bei deinem Kumpel nicht der Fall ist , weisst Du woran es liegt.

Was fürn Softphone benutzt ihr ? Xlite ?

Gruss CHROISS

[a-tobias]

Danke für die vielen Antworten :

Aber folgendes steht wenn ich asterisk -vvvvr benutze :

wenn ich mich anmelde
Registered SIP `xxx' at <meine ip> blabla
Saved Useragent for blabal

wenn mein kollege sich anmeldet kommt das gleiche. Halt mit der richtigen extension und der richtigen IP
aber nachdem er sich angemeldet hat kommt sowas :

chan_sip.c:6854 handle_response : Forbidden - wrong password on authentication for NOTIFY

[chroiss]

das passwort und so weiter ist bei deinem kumpel aber schon richtig eingestellt ???

was sagt in der asteisk console

Code: Alles auswählen

sip show users

bzw.

Code: Alles auswählen

sip show peers

werdet ihr beiden da ordnungsgemäss angezeigt ?[/code]

[a-tobias]

Ja in sip show users stehen die ganzen benutzer drin (nur Accountcode ist bei allen frei) passwort is aber da

und unter peers steht er drin mit richtiger ip, extension und username. port is auch da

[chroiss]

dann würde ich auf die extensions.conf tippen.

das da der fehler liegt ....

Kuck die noch mal durch oder poste die...


Gruss Chroiss

:edit: besser auch gleich die sip.conf

[a-tobias]

[general]
port=5060
bindaddr=0.0.0.0
context=default
deny=all
allow=ulaw
allow=alaw
allow=gsm
qualify=yes
nat=no
pedantic=yes

[1001]
type=friend
context=default
secret=546a
host=dynamic
nat=yes
dtmfmode=rfc2833
username=Tobias
CallerID=Tobias <1001>
mailbox=1001

[1002]
type=friend
context=default
secret=667
host=dynamic
dtmfmode=rfc2833
username=bla
CallerID=bla <1002>
mailbox=1002

[1003]
type=friend
context=default
secret=6
host=dynamic
dtmfmode=rfc2833
username=bla
CallerID=bla <1003>
mailbox=1003

[1004]
type=friend
context=default
secret=65
host=dynamic
nat=yes
dtmfmode=rfc2833
username=Ollic
defaultip=olli.lan
CallerID=Ollic <1004>
mailbox=1004

*++++++++++++++++++++++++++++++++++++++++++++++
[general]
static=yes

[invalid]
exten => _X.,1,Answer()
exten => _X.,2,Playback(invalid)
exten => _X.,3,HangUp


[outgoing]
exten => 0,1,Answer()
exten => 0,2,Playback(vm-nobodyavail)
exten => 0,3,HangUp


[macro-stdexten]
exten => s,1,Dial(SIP/${ARG2},20)
exten => s,2,Goto(s-${DIALSTATUS},1)

exten => s-NOANSWER,1,Voicemail(u${ARG1})
exten => s-NOANSWER,2,HangUp

exten => s-BUSY,1,Voicemail(b${ARG1})
exten => s-BUSY,2,HangUp

exten => _s-.,1,Goto(s-NOANSWER,1)

[intern]
exten => _100[1-4],1,Playback(transfer,skip)
exten => _100[1-4],2,Macro(stdexten,${EXTEN},${EXTEN})
exten => _100[1-4],3,HangUp


[mailbox]
exten => 555,1,Answer()
exten => 555,2,VoiceMailMain()
exten => 555,3,HangUp

[default]
include => intern
include => mailbox
include => outgoing
include => invalid


exten => h,1,Playback(vm-goodbye)
exten => h,2,HangUp

[a-tobias]

Ich muss dazu sagen, das es im internen netzwerk funktioniert

[chroiss]

ich schätze einmal dein kumpel ist die 1004

gib der 1004 in der sip.conf noch einmal folgenden parameter mit (falls das dein kumpel ist) :

canreinvite=no

->

Code: Alles auswählen

[1004]
type=friend
context=default
secret=65
host=dynamic
nat=yes
dtmfmode=rfc2833
username=Ollic
canreinvite=no ; <- neuer eintrag
defaultip=olli.lan 
CallerID=Ollic <1004>
mailbox=1004

wenns dann noch nicht klappt nat auf no stellen.
und defaultip eventuell ausklammern ( ; )


[/code]

[a-tobias]

OK letzter Eintrag für heute

Aber danke schonmal


also geht natürlich nich...wie solls auch anders sein.

wenn ich meinen kollegensich selber anrufen lasse, steht im asterisk debug
Contact : <sip:1004@10.8.0.x>

Das is aber die ip der vpn auf meiner seite

[chroiss]

puh....

liegts dann doch am router ???

was sagt den die asterisk cli wenn du den sip debug für ihn aktivierst und danach versuchst ihn anzurufen ?

Code: Alles auswählen

Astersik*CLI> sip debug peer 1004

vielleicht bringt der licht ins dunkle ...

[a-tobias]

Code: Alles auswählen

    -- Executing Playback("SIP/1001-7424", "transfer|skip") in new stack
#    -- Executing Macro("SIP/1001-7424", "stdexten|1004|1004") in new stack
#    -- Executing Dial("SIP/1001-7424", "SIP/1004|20") in new stack
#We're at 10.8.0.6 port 19510
#Answering/Requesting with root capability 0x4 (ulaw)
#Answering with preferred capability 0x8 (alaw)
#Answering with preferred capability 0x2 (gsm)
#Answering with non-codec capability 0x1 (telephone-event)
#12 headers, 12 lines
#Reliably Transmitting:
INVITE sip:1004@192.168.0.6:3265;line=ojn9itpa SIP/2.0
Via: SIP/2.0/UDP 10.8.0.6:5060;branch=z9hG4bK29b1eaa8
From: "Tobias" <sip:1001@10.8.0.6>;tag=as12bc7dc4
To: <sip:1004@192.168.0.6:3265;line=ojn9itpa>
Contact: <sip:1001@10.8.0.6>
Call-ID: 1ab92de720db6a531eca19945fbec67a@10.8.0.6
CSeq: 102 INVITE
User-Agent: Asterisk PBX
Date: Sun, 23 Apr 2006 13:38:55 GMT
Allow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER
Content-Type: application/sdp
Content-Length: 253

v=0
o=root 5211 5211 IN IP4 10.8.0.6
s=session
c=IN IP4 10.8.0.6
t=0 0
m=audio 19510 RTP/AVP 0 8 3 101
a=rtpmap:0 PCMU/8000
a=rtpmap:8 PCMA/8000
a=rtpmap:3 GSM/8000
a=rtpmap:101 telephone-event/8000
a=fmtp:101 0-16
a=silenceSupp:off - - - -
 (no NAT) to 192.168.0.6:3265
#    -- Called 1004
#

Retransmitting #1 (no NAT):
INVITE sip:1004@192.168.0.6:3265;line=ojn9itpa SIP/2.0
Via: SIP/2.0/UDP 10.8.0.6:5060;branch=z9hG4bK29b1eaa8
From: "Tobias" <sip:1001@10.8.0.6>;tag=as12bc7dc4
To: <sip:1004@192.168.0.6:3265;line=ojn9itpa>
Contact: <sip:1001@10.8.0.6>
Call-ID: 1ab92de720db6a531eca19945fbec67a@10.8.0.6
CSeq: 102 INVITE
User-Agent: Asterisk PBX
Date: Sun, 23 Apr 2006 13:38:55 GMT
Allow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER
Content-Type: application/sdp
Content-Length: 253

v=0
o=root 5211 5211 IN IP4 10.8.0.6
s=session
c=IN IP4 10.8.0.6
t=0 0
m=audio 19510 RTP/AVP 0 8 3 101
a=rtpmap:0 PCMU/8000
a=rtpmap:8 PCMA/8000
a=rtpmap:3 GSM/8000
a=rtpmap:101 telephone-event/8000
a=fmtp:101 0-16
a=silenceSupp:off - - - -

 to 192.168.0.6:3265
#
#[Kcerebro*CLI> 
Retransmitting #2 (no NAT):
INVITE sip:1004@192.168.0.6:3265;line=ojn9itpa SIP/2.0
Via: SIP/2.0/UDP 10.8.0.6:5060;branch=z9hG4bK29b1eaa8
From: "Tobias" <sip:1001@10.8.0.6>;tag=as12bc7dc4
To: <sip:1004@192.168.0.6:3265;line=ojn9itpa>
Contact: <sip:1001@10.8.0.6>
Call-ID: 1ab92de720db6a531eca19945fbec67a@10.8.0.6
CSeq: 102 INVITE
User-Agent: Asterisk PBX
Date: Sun, 23 Apr 2006 13:38:55 GMT
Allow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER
Content-Type: application/sdp
Content-Length: 253

v=0
o=root 5211 5211 IN IP4 10.8.0.6
s=session
c=IN IP4 10.8.0.6
t=0 0
m=audio 19510 RTP/AVP 0 8 3 101
a=rtpmap:0 PCMU/8000
a=rtpmap:8 PCMA/8000
a=rtpmap:3 GSM/8000
a=rtpmap:101 telephone-event/8000
a=fmtp:101 0-16
a=silenceSupp:off - - - -

 to 192.168.0.6:3265
#
#[Kcerebro*CLI> 
Retransmitting #3 (no NAT):
INVITE sip:1004@192.168.0.6:3265;line=ojn9itpa SIP/2.0
Via: SIP/2.0/UDP 10.8.0.6:5060;branch=z9hG4bK29b1eaa8
From: "Tobias" <sip:1001@10.8.0.6>;tag=as12bc7dc4
To: <sip:1004@192.168.0.6:3265;line=ojn9itpa>
Contact: <sip:1001@10.8.0.6>
Call-ID: 1ab92de720db6a531eca19945fbec67a@10.8.0.6
CSeq: 102 INVITE
User-Agent: Asterisk PBX
Date: Sun, 23 Apr 2006 13:38:55 GMT
Allow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER
Content-Type: application/sdp
Content-Length: 253

v=0
o=root 5211 5211 IN IP4 10.8.0.6
s=session
c=IN IP4 10.8.0.6
t=0 0
m=audio 19510 RTP/AVP 0 8 3 101
a=rtpmap:0 PCMU/8000
a=rtpmap:8 PCMA/8000
a=rtpmap:3 GSM/8000
a=rtpmap:101 telephone-event/8000
a=fmtp:101 0-16
a=silenceSupp:off - - - -

 to 192.168.0.6:3265
#
#[Kcerebro*CLI> 
Retransmitting #4 (no NAT):
INVITE sip:1004@192.168.0.6:3265;line=ojn9itpa SIP/2.0
Via: SIP/2.0/UDP 10.8.0.6:5060;branch=z9hG4bK29b1eaa8
From: "Tobias" <sip:1001@10.8.0.6>;tag=as12bc7dc4
To: <sip:1004@192.168.0.6:3265;line=ojn9itpa>
Contact: <sip:1001@10.8.0.6>
Call-ID: 1ab92de720db6a531eca19945fbec67a@10.8.0.6
CSeq: 102 INVITE
User-Agent: Asterisk PBX
Date: Sun, 23 Apr 2006 13:38:55 GMT
Allow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER
Content-Type: application/sdp
Content-Length: 253

v=0
o=root 5211 5211 IN IP4 10.8.0.6
s=session
c=IN IP4 10.8.0.6
t=0 0
m=audio 19510 RTP/AVP 0 8 3 101
a=rtpmap:0 PCMU/8000
a=rtpmap:8 PCMA/8000
a=rtpmap:3 GSM/8000
a=rtpmap:101 telephone-event/8000
a=fmtp:101 0-16
a=silenceSupp:off - - - -

 to 192.168.0.6:3265
#
#[Kcerebro*CLI> 
Retransmitting #5 (no NAT):
INVITE sip:1004@192.168.0.6:3265;line=ojn9itpa SIP/2.0
Via: SIP/2.0/UDP 10.8.0.6:5060;branch=z9hG4bK29b1eaa8
From: "Tobias" <sip:1001@10.8.0.6>;tag=as12bc7dc4
To: <sip:1004@192.168.0.6:3265;line=ojn9itpa>
Contact: <sip:1001@10.8.0.6>
Call-ID: 1ab92de720db6a531eca19945fbec67a@10.8.0.6
CSeq: 102 INVITE
User-Agent: Asterisk PBX
Date: Sun, 23 Apr 2006 13:38:55 GMT
Allow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER
Content-Type: application/sdp
Content-Length: 253

v=0
o=root 5211 5211 IN IP4 10.8.0.6
s=session
c=IN IP4 10.8.0.6
t=0 0
m=audio 19510 RTP/AVP 0 8 3 101
a=rtpmap:0 PCMU/8000
a=rtpmap:8 PCMA/8000
a=rtpmap:3 GSM/8000
a=rtpmap:101 telephone-event/8000
a=fmtp:101 0-16
a=silenceSupp:off - - - -

 to 192.168.0.6:3265
#
#[Kcerebro*CLI> 
Apr 23 15:39:01 WARNING[5211]: chan_sip.c:694 retrans_pkt: #Maximum retries exceeded on call 1ab92de720db6a531eca19945fbec67a@10.8.0.6 for seqno 102 (Critical Request)
#  == No one is available to answer at this time
#    -- Executing Goto("SIP/1001-7424", "s-NOANSWER|1") in new stack
#    -- Goto (macro-stdexten,s-NOANSWER,1)
#    -- Executing VoiceMail("SIP/1001-7424", "u1004") in new stack
#    -- Playing 'vm-theperson' (language 'en')
#
#[Kcerebro*CLI> 
Destroying call '1ab92de720db6a531eca19945fbec67a@10.8.0.6'
#
#[Kcerebro*CLI> 
    -- Playing 'digits/1' (language 'en')
#
#[Kcerebro*CLI> 
  == Spawn extension (macro-stdexten, s-NOANSWER, 1) exited non-zero on 'SIP/1001-7424' in macro 'stdexten'
#  == Spawn extension (default, 1004, 2) exited non-zero on 'SIP/1001-7424'
#    -- Executing Playback("SIP/1001-7424", "vm-goodbye") in new stack
#Apr 23 15:39:03 WARNING[5211]: file.c:550 ast_readaudio_callback: #Failed to write frame
#    -- Playing 'vm-goodbye' (language 'en')
#  == Spawn extension (default, h, 1) exited non-zero on 'SIP/1001-7424'

[a-tobias]

Das steht in dem Firewall script zur VPN :

Code: Alles auswählen

iptables -A INPUT -i tun0 -j ACCEPT

iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT

iptables -A OUTPUT -o tun0 -j ACCEPT

[/code]

[olli1209]

Hi,

ich bin übrigens sein Kollege

Habe hier mal einen Netzplan erstellt, damit mann sich das mal vorstellen kann:
http://nopaste.debianforum.de/2992

[chroiss]

firewall sieht gut aus

hau das nochmal unter [general] in die sip.conf rein

localnet=192.168.1.0/24
localnet=192.168.2.0/24
localnet=10.8.0.0/8
canreinvite=no ; verhindert probleme mit nat
nat=yes ; damit is nat global angeschaltet

und unter 1004 in der sip.conf nat wieder auf yes setzen( eigentlich ist es ja schon unter general , aber was solls).

und

insecure=port,invite


Ich hoffe dann klappts

Besonders der letzte Punkt sollte hilfreich sein..( denn das scheint ja das problem zu sein )

[a-tobias]

Das is ne kacke hier :

WARNING : chan_sip.c:6854 handle response : Forbidden -wrong password on authentication for INVITE

Der will einfach nich

[chroiss]

hast du das

Code: Alles auswählen

insecure=port,invite
 

bei 1004 eingestellt unter der sip.conf ???

wenn ja und das klappt immer noch nicht , dann

hmmm

nu weiss ich langsam auch nich mehr weiter ...
du könntest das auch noch mal bei deinem user einstellen in der sip, aber eigentlich brauchst du das nich , sondern die 1004



[/code]

[a-tobias]

ja, ist drin in der sip.conf unter [1004]

[chroiss]

tja er findet wohl das interface ( INVITE sip:1004@192.168.0.6:3265) nicht ,

(Auszug aus chan_sip.c -> )

Code: Alles auswählen

06840    /* Search interfaces and find the match */
06841    ast_mutex_lock(&iflock);
06842    sip_pvt_ptr = iflist;
06843    while(sip_pvt_ptr) {
06844       if (!strcmp(sip_pvt_ptr->callid, callid)) {
06845          /* Go ahead and lock it (and its owner) before returning */
06846          ast_mutex_lock(&sip_pvt_ptr->lock);
06847          if (sip_pvt_ptr->owner) {
06848             while(ast_mutex_trylock(&sip_pvt_ptr->owner->lock)) {
06849                ast_mutex_unlock(&sip_pvt_ptr->lock);
06850                usleep(1);
06851                ast_mutex_lock(&sip_pvt_ptr->lock);
06852                if (!sip_pvt_ptr->owner)
06853                   break;
06854             }

somit kommts hierzu

Code: Alles auswählen

09840    case 403: /* Forbidden */
09841       /* First we ACK */
09842       transmit_request(p, SIP_ACK, seqno, XMIT_UNRELIABLE, 0);
09843       ast_log(LOG_WARNING, "Forbidden - wrong password on authentication for INVITE to '%s'\n", get_header(&p->initreq, "From"));
09844       if (!ignore && p->owner)
09845          ast_queue_control(p->owner, AST_CONTROL_CONGESTION);
09846       ast_set_flag(&p->flags[0], SIP_NEEDDESTROY);
09847       ast_set_flag(&p->flags[0], SIP_ALREADYGONE);
09848       break;

Warum ich das hier reinschreib ?
Weil ich keine Ahnung mehr habe !

Jedenfalls kann dein Asterisk bzw. SIP die 192.168.0.6 nicht erreichen
Also liegt es anscheinend nicht einmal an der Authentifizierung, da
insecure=invite
dies bei einem invite behoben hätte.

[Also ist am tun Device auf Ollis Seite wohl Ende... ab da gehts nicht weiter ]

[michaa7]

also, erstmal, ich habe von netzwerk nicht viel ahnung, vielleicht ist meine anmerkung kompletter schrott, aber wenn ich mir ollis netzwerkplan anschaue, dann läuft der vpn tunnel (classe A) in einem classe C netz. Geht das überhaupt? Passen da den dann überahupt noch den netzwerkmasken?

Wie gesagt, bin ein ziemlicher netzwerknoob, das schaut nur so komisch aus, falls ich mist erzählt habe, sorry


Viel glück mit eurem problem

[chroiss]

netzwerkmasken kannst du auch so setzen ...
du kannst aus m 192.168.x.x auch n class B machen mit /16

das is egal

Und entschuldigen brauch sich hier keiner ...