Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 2 subscribers
  • Views 3713 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Uable to do SIP connectivity with external extensions

ddywz
Hello,  everything is going well with the new Sophos UTM home edition I installed 3 weeks ago. Looks like all FW rules I set are working ok with exception of this SIP that I cannot get it to work.  Here is my situation:
Using a Asterisk PBX located on internal network 192.168.2.0/24  I have made a static DHCP address for it and the PBX server is working fine.  I use Bria soft phone on my android device to connect to it.  Everything work fine with the extension (android Bria) is on local Wi-Fi.  Once I get on 4G It does not work.  I created a NAT rule a (DNAT) as follows:

Matching condition:

For traffic:  "Any"
Using service "  VoIP protocol "  ( I have added here RTP ports 10K:20K TCP/UDP and the regular SIP on port UDP5060
Going to:  " External address "

Action:

Change destination to: " raspbx "   This is defined in "definitions and users"
Using service:  blank 
Automatic firewall rule is checked.

Rule is saved and enabled.  

Also on VoIP settings under "Network Protection"  I have:

1. Enabled it
2. Under SIP server Networks I have put " Internal network "
3. Under SIP client Networks I have added specific devices that act as extensions (android devices running Bria) and also " Internet IPV4 " for external connections
4. For Exception mode I have picked "Any"  since I have external extensions.

I don't have any SIP trunks with any provider.  This is just my VoIP server arranging connectivity for its own extensions,  some of them are on internet.  I had this all working before on my netgear router.  Trying to setup the same now with the astaro UTM.  

Any ideas?  Have I forgotten anything?  Do I need any special FW rule added?  Is the NAT rule ok as a DNAT or I need a FULL NAT or 1:1 or additional SNAT Rules?

Many thanks!


This thread was automatically locked due to age.
  • 0
    Several possible mistakes.  The VoIP configuration can't be right.  It sounds like your SIP server should be "raspbx".

    Check #3 and #3.1 in https://community.sophos.com/products/unified-threat-management/astaroorg/f/51/t/22065.

    Cheers - Bob
  • 0
    Well,  the field says "SIP server Networks" and not "SIP server" that's why I put internal network...  In my opinion that VoIP config under "Network Protection" is confusing... all it does it controls traffic for SIP signaling protocol 5060 UDP port and it does not take into account the media ports you may need. In my case I need RTP ports 10K to 20K to be allowed and this setting won't do it. You still need the DNAT rule to allow the media ports.  I tested it and if I disable the DNAT rule temporarily then I lose all voice communication.  Maybe if you bind services to all use port 5060 then in that case it may work.  What I did is I created a service group where I added SIP 5060, media ports RTP ports and use this group on DNAT rule to allow traffice to come in and get directed to raspbx internal VoIP server.  All is working fine now.  I actually disabled the VoIP under "Network Protection" and it is still working fine.  I am confosed as I still think the settings for VoIP are for a reason there.  In my case looks like a DNAT rule fixed what I was trying to accomplish, but now any internal extension trying to dial a remote extension on Internet is still not working.  Well, I can get the ringer to work but no audio communication.  Do I need a SNAT setup?  Is there any link or documentation on how to setup SIP for VoIP with sophos UTM?   the help link on UTM is very general and does not tell much.

    Thanks,
  • 0
    I don't do Asterisk, but my understanding is:

    [Phone][Asterisk PBX][Phone]


    and never 

    [Phone][Phone]


    If you had a VoIP provider, you would put their server network in as VoIP servers and your PBX as the client.

    In your case, with no provider, your PBX would be the VoIP server and the phones the clients.  This is why you have to add the 10k-to-20k service manually and why, unless the phones are on a different subnet, the VoIP proxy doesn't help you.

    In any case, you would need masquerading and an outbound firewall rule to get the non-SIP traffic to phones on the Internet and a DNAT to get the incoming non-SIP services to the PBX.

    In your case, the SIP service also must be DNATted to the PBX and added to the outbound firewall rule.  In addition, you may need a Full NAT (source changed to "Internal (Address)") instead of a DNAT because you have external extensions.  Any luck with all that?

    Cheers - Bob