C cenaly.com
Почати безкоштовно

Мережа, роутер та інтернет для телефонії

Порти, SIP ALG і де його вимкнути на роутерах популярних марок, NAT, Wi-Fi та VLAN, скільки інтернету потрібно на дзвінок

18 min read Відкрити цей екран у демо
On this page 18

Мережа, роутер та інтернет для телефонії

IP-телефон — це такий самий пристрій у мережі закладу, як каса або комп'ютер: він виходить в інтернет через ваш роутер до нашої АТС. Майже завжди це «просто працює», а коли не працює — винні три-чотири налаштування роутера, однакові в усіх марок. На цій сторінці — що саме потрібно від мережі, де вимкнути завадливий «помічник» SIP ALG на роутерах популярних марок і скільки інтернету потрібно на дзвінок.

Що вводити в сам телефон (сервер, логін, пароль) — в огляді «Налаштування SIP-телефонів». Перевірка звуку після будь-яких змін у мережі — ехо-тест *43 (див. «Як перевірити мережу»).

Коротко: п'ять правил#

  1. Проброшувати порти не потрібно. Телефон сам з'єднується з АТС зсередини вашої мережі — вхідних підключень ззовні не буває.
  2. Вимкніть SIP ALG на роутері (він же «SIP Helper», «SIP Passthrough»). Це найчастіша причина «дзвінок обривається через 30 секунд» і «мене не чути» — де він у вашої марки.
  3. Телефон — у службову мережу, краще кабелем. Не в гостьовий Wi-Fi: там пристрої ізольовані одне від одного, а часто стоїть сторінка входу, через яку телефон не пройде.
  4. Інтернету потрібно небагато, але стабільно: близько 100 кбіт/с у кожен бік на одну розмову. Важливіша не швидкість, а щоб канал не забивався «в стелю» — особливо на віддачу.
  5. Після будь-яких робіт з мережею наберіть *43. Зелена точка в адмінці говорить про реєстрацію, а не про звук.

Як дзвінок іде через мережу#

 IP-телефон ──► роутер закладу ──► інтернет ──► АТС Cenaly
 (192.168.x.x)  (NAT: підміняє      провайдер    sip.<ваш домен>
                 адресу на зовнішню)              або виділена машина

Увесь рух починає телефон:

  1. Телефон надсилає АТС реєстрацію (порт 5060). Роутер запам'ятовує: «пакети з цього зовнішнього порту — для телефона 192.168.x.x» — це називається трансляція адрес (NAT).
  2. АТС відповідає і потім надсилає вхідні виклики туди ж, звідки прийшла реєстрація, — через ту саму «дірку» в роутері. Тому проброшувати порти не потрібно: двері відчинив сам телефон.
  3. Голос (RTP) телефон теж починає слати сам, а АТС відповідає голосом на ту адресу і порт, звідки він прийшов.

Звідси дві умови, без яких зв'язок ламається: роутер не повинен переписувати вміст SIP-пакетів (це робить SIP ALG) і не повинен забувати «дірку», поки телефон мовчить між дзвінками (це keep-alive). Обидві розібрані нижче.

Для адміністратора мережі: що АТС робить з NAT сама

Для всіх додаткових на стороні АТС увімкнено (shared/sip/advanced-options.json, група nat):

  • force_rport — відповіді йдуть на адресу і порт, з якого прийшов запит (RFC 3581), а не на написаний у заголовку Via;
  • rewrite_contact — АТС запам'ятовує телефон за реальною зовнішньою адресою джерела реєстрації, а не за приватною адресою 192.168.x.x із заголовка Contact;
  • rtp_symmetric — голос надсилається туди, звідки він приходить від телефона (symmetric RTP), а не на адресу з SDP;
  • direct_media=no — голос завжди іде через АТС, навіть між двома телефонами одного закладу; телефони ніколи не намагаються з'єднатися одне з одним напряму.

Тому STUN, TURN і ICE телефону не потрібні, а статичний зовнішній IP закладу не потрібен. Реєстрацію телефон може просити на 60–3600 с (менше 60 — відмова 423 Interval Too Brief, за замовчуванням 120 с); АТС перевіряє кожен зареєстрований апарат запитом OPTIONS раз на 60 с.

Порти для адміністратора мережі#

Правило одне: дозволити вихідне до адреси АТС і відповіді на нього (звичайний «stateful» міжмережевий екран робить це сам). Вхідні правила і проброшування портів не потрібні.

Що Протокол і порт на стороні АТС Напрямок із закладу
Реєстрація і виклики (SIP) UDP 5060; TCP 5060 — якщо телефон переключений на TCP вихідний до адреси АТС
Голос (RTP) UDP 10000–20000 (загальний контур використовує 10000–10200, виділена машина — весь діапазон 10000–20000) вихідний до адреси АТС
Імена (DNS) UDP/TCP 53 до DNS-сервера провайдера або вашого
Час (NTP) UDP 123 до серверів часу — інакше в історії дзвінків буде неправильний час

Адреса АТС — ім'я, а не IP: він показаний у вікні «Облікові дані додаткового» (sip.<ваш домен> у загального контуру або ім'я вашої виділеної машини). Не вбивайте в правила IP «зі пам'яті» і не беріть його з цієї сторінки — тут його немає спеціально.

Подробиці для міжмережевого екрана
  • Локальні порти телефона (з якого порту він шле SIP і RTP) у кожної марки свої — фільтрувати вихідне за портом джерела не потрібно, фільтруйте за адресою і портом призначення.
  • Два порти на одну розмову на стороні АТС: RTP займає парний порт, RTCP (звіти про якість) — сусідній непарний. Це внутрішня справа АТС, але пояснює, чому діапазон широкий.
  • Якщо міжмережевий екран вимагає IP-адресу, отримайте його за іменем (nslookup <SIP-сервер>). У виділеної машини IP статичний; у загального контуру надійніше дозволяти за іменем або весь вихідний UDP до нього.
  • TCP 5061 (SIP через TLS) на виділеній машині відкритий під шифровану сигналізацію. Телефону він потрібен, тільки якщо у вікні облікових даних транспорт — TLS; за замовчуванням там UDP.
  • Шифрування звуку (SRTP) немає — якщо на міжмережевому екрані «інспекція VoIP» вимагає SRTP, вимкніть її для адреси АТС.

SIP ALG — вимкнути на роутері#

Що це. SIP ALG (Application Layer Gateway; у різних марок — «SIP Helper», «SIP Passthrough», «ALG для SIP») — функція роутера, яка «допомагає» телефонії: залазить усередину SIP-пакетів і переписує в них адреси. Придумана вона для старих телефонів, які не вміли жити за NAT. Наша АТС уміє це сама (див. блок вище), і роутер зі своєю «допомогою» тільки заважає.

Як ламає. Переписує він часто неправильно або лише половину пакетів. Типові ознаки:

  • дзвінок обривається рівно через ~30 секунд після відповіді — підтвердження відповіді (ACK) пішло не туди, і одна зі сторін кладе слухавку за таймером;
  • чути лише одну сторону або немає звуку зовсім — в описі голосового потоку підмінено адресу;
  • телефон то реєструється, то ні, вхідні надходять через раз.

Механіку цих поломок докладно розбирають сторінки «Дзвінок обривається» і «Немає звуку, чути в одну сторону». Тут — де вимкнути.

Марка Де вимкнути З заводу
Keenetic (і Netcraze) Загальні налаштування системи → Змінити набір компонентів → зняти «Шлюз прикладного рівня (ALG) для SIP» → Оновити. У Keenetic SIP ALG — не галочка, а окремий компонент системи: його видаляють. Роутеру потрібен інтернет, він оновить систему до останньої версії і сам перезавантажиться — робіть у тихий час в документації не вказано
MikroTik (RouterOS) меню NAT-помічників /ip firewall service-port → запис sip → вимкнути: /ip firewall service-port disable sip в документації не вказано
TP-Link Archer (Wi-Fi 6) Advanced → Security → ALG → SIP ALG вимкнути в документації не вказано
TP-Link модеми xDSL і LTE (Archer VR/VX/MR, TD-W) Advanced → NAT Forwarding → ALG → SIP ALG вимкнути в документації не вказано
TP-Link Deco додаток Deco → More → Advanced → NAT Forwarding → SIP ALG → вимкнути в документації не вказано
D-Link DIR (російська прошивка) Дополнительно → ALG/Passthrough → перемикач SIP вліво → Применить в документації не вказано
D-Link DIR (англійська прошивка) Advanced → Firewall → Advanced Settings… → SIP → вимкнути в документації не вказано
Zyxel VMG/XMG (модеми провайдерів) Network Setting → NAT → ALG → SIP ALG вимкнути в документації не вказано
ASUS WAN → NAT Passthrough → SIP Passthrough → Disable → Apply (SIP ALG у ASUS називається SIP Passthrough ⚠️ verify) увімкнено
NETGEAR (Nighthawk, Orbi RBR50/40/20) ADVANCED → Setup → WAN Setup → поставити галочку Disable SIP ALG → Apply увімкнено
DrayTek Vigor NAT → ALG → зняти Enable SIP/RTSP ALG (прошивки з 3.8.5); у консолі — sys sip_alg 0 вимкнено
AVM FRITZ!Box окремого вимикача SIP ALG у документації AVM немає. Але для зовнішньої АТС потрібно зняти захист: Telefonie → Eigene Rufnummern → Anschlusseinstellungen → прибрати галочку «Nutzung von Internettelefonie aus dem Heimnetz unterbinden» (заборона інтернет-телефонії з домашньої мережі) — інакше FRITZ!Box не пропустить телефони до нашої АТС —
Ubiquiti UniFi (Cloud Gateway) нічого робити не потрібно: за документацією Ubiquiti шлюзи UniFi SIP ALG не застосовують. Перевірте провайдерський роутер перед ним ALG немає
Tenda у посібниках домашніх Wi-Fi-роутерів Tenda пункту SIP ALG немає. У модемів Tenda DSL: Advance → Services → ALG → зняти SIP —
Huawei, ZTE (оптичні термінали провайдерів: HG8245H, HG8145V, F660, F670L…) у відкритій документації виробника шляхів немає, меню зазвичай урізане провайдером — запитайте провайдера —
Sagemcom, Technicolor, AirTies (коробки провайдерів) у документації виробника пункту немає — запитайте провайдера —
Xiaomi / Redmi у документації виробника пункту немає — перевірте *43 і дзвінком довшим за хвилину —

«З заводу: в документації не вказано» означає, що виробник не пише, чи увімкнено ALG спочатку, — зайдіть і подивіться. Шляхи взяті з офіційних посібників виробників (список — у «Джерелах»); в іншій прошивці назви пунктів можуть трохи відрізнятися.

Для адміністратора мережі: бізнес-шлюзи
  • TP-Link Omada (шлюз зі своїм веб-інтерфейсом): Transmission → NAT → ALG — зняти SIP.
  • Zyxel ATP/USG (ZLD): Configuration → Network → ALG — зняти Enable SIP ALG (і Enable SIP Transformations).
  • Fortinet FortiGate: з заводу SIP обробляє ALG (default-voip-alg-mode proxy-based) і увімкнено session-helper sip (зазвичай № 13). Вимикається лише в консолі: config system session-helper → delete 13 → end; потім config system settings → set default-voip-alg-mode kernel-helper-based → end; у політиці не повинно бути VoIP-профілю. Перевірка — diagnose sys session list | grep sip.
  • MikroTik: у запису SIP у service-port є параметри sip-direct-media (за замовчуванням yes) і sip-timeout (1 година) — при вимкненому помічнику вони не діють.
  • OpenWrt: SIP-помічник живе в пакеті kmod-nf-nathelper-extra; немає пакета — немає й ALG. Помічники за зонами вмикає опція auto_helper міжмережевого екрана.

Якщо роутер провайдерський (оптичний термінал, «коробка» від інтернет-провайдера) і пункту не видно — меню зазвичай урізане. Зателефонуйте провайдеру і попросіть: «вимкніть SIP ALG на моєму роутері» або «переведіть термінал у режим моста (bridge)», якщо за ним стоїть ваш власний роутер.

Після вимкнення перезавантажте роутер і телефони (старі записи NAT живуть до перезавантаження або закінчення таймера), потім наберіть *43.

NAT, подвійний NAT і keep-alive#

Keep-alive. Роутер пам’ятає «дірку» для телефону, поки через неї щось ходить. Якщо телефон мовчить довше, ніж тайм-аут UDP на роутері, запис видаляється — і вхідний виклик до телефону не доходить, хоча в адмінці ще кілька хвилин горить зелена точка («вихідні дзвонять, вхідні ні»). У роутерів на Linux (на ньому працюють багато домашніх і провайдерських моделей) тайм-аут за замовчуванням — 30 секунд для односторонніх UDP-потоків і 120 секунд — для потоків із відповідями; у MikroTik — 30 секунд і 3 хвилини.

Тому:

  • у телефоні увімкніть NAT keep-alive (він же «NAT Keep-alive», «Keep Alive Interval», «UDP keep-alive») з інтервалом 15–30 секунд, якщо є такий пункт;
  • або перемкніть телефон на TCP — TCP-з’єднання роутери тримають значно довше (наша АТС приймає TCP на тому самому порту 5060);
  • АТС зі свого боку опитує кожен телефон раз на 60 секунд — це допомагає, але на роутері з тайм-аутом 30 секунд одного цього мало.

Подвійний NAT — коли за провайдерським роутером або оптичним терміналом стоїть ваш власний роутер, і обидва роблять NAT. Наша АТС бачить лише найзовнішню адресу і працює й так, але: SIP ALG треба вимкнути на обох пристроях, а keep-alive має вкладатися в коротший із двох тайм-аутів. Найкращий варіант — перевести провайдерський пристрій у режим моста (bridge), щоб NAT був один.

Мобільний інтернет і «сірий» IP провайдера (CGNAT) — це той самий подвійний NAT, тільки зовнішній рівень в оператора і його не налаштувати. Працює, але keep-alive особливо важливий: тайм-аути в операторів бувають короткими.

Для адміністратора мережі: тайм-аути та перевірка
  • Linux-роутери (OpenWrt і прошивки багатьох домашніх і провайдерських моделей): nf_conntrack_udp_timeout = 30 с, nf_conntrack_udp_timeout_stream = 120 с — документація ядра Linux. MikroTik: /ip firewall connection tracking → udp-timeout = 30 с, udp-stream-timeout = 3 хв. Якщо телефони без keep-alive, підніміть UDP-тайм-аут до 180 с.
  • Ознака протухлого запису NAT: вихідні працюють завжди, вхідні перестають надходити через кілька хвилин простою і «оживають» одразу після вихідного виклику.
  • Навпаки перевірити дорогу до телефону можна з адмінки: картка апарата → вкладка «Перевірка» → «Зателефонувати на апарат» (див. огляд, «Перевірка якості зв’язку»).

Кабель, Wi-Fi, PoE, VLAN і QoS#

  • Кабель кращий за Wi-Fi. Настільний телефон підключайте кабелем. Wi-Fi додає затримку і втрати, особливо в залі, де мережу ділять гості; під час переходу між точками доступу розмова може перерватися.
  • Гостьова мережа — не для телефонів. У ній зазвичай увімкнена ізоляція клієнтів (пристрої не бачать одне одного — комп’ютер не відкриє веб-інтерфейс телефону) і буває сторінка входу («captive portal»), яку телефон пройти не може.
  • Для біганини по залу — DECT, а не Wi-Fi-телефон. DECT-слухавки працюють по своєму радіо, не залежать від Wi-Fi і тримають зарядку довше.
  • Живлення по PoE. Більшість офісних телефонів живляться від комутатора за стандартом PoE 802.3af — окремий блок живлення не потрібен. Якщо комутатор без PoE, блок живлення часто продається окремо. Відеотелефонам і апаратам із модулями розширення може знадобитися PoE+ (802.3at).
  • Софтфон на смартфоні у Wi-Fi втрачає реєстрацію під час переходу на мобільну мережу — див. «Софтфони».
Для адміністратора мережі: VLAN для голосу та QoS

VLAN. У закладі з керованим комутатором зручно винести телефони в окрему голосову VLAN: гостьовий і службовий трафік не заважає голосу, телефони не видні гостям. Телефон отримує номер VLAN вручну (у своїх мережевих налаштуваннях), по LLDP-MED від комутатора або опцією DHCP — дивіться сторінку вашої марки. Комп’ютер, увімкнений у порт PC телефону, залишається у звичайній мережі. Для АТС VLAN нічого не змінює: назовні телефон все одно виходить через NAT роутера.

QoS. Голосу потрібен не товстий канал, а пріоритет у черзі на віддачу: коли хтось заливає відео з камер або бекап у хмару, пакети голосу стоять в одній черзі з файлами — звідси «робот» і затримка. Що можна зробити:

  • у роутері увімкнути пріоритизацію (QoS / SQM / Smart Queue / «Керування смугою») і дати найвищий пріоритет IP-адресам телефонів або голосовій VLAN;
  • обмежити смугу для «важких» пристроїв (камери, NAS) трохи нижче реальної швидкості каналу — тоді черга не набивається;
  • телефони зазвичай самі позначають голос кодом DSCP 46 (EF), а сигналізацію — 24–26 (CS3/AF31); роутер може пріоритизувати за цією міткою. В інтернеті за межами вашого роутера мітки DSCP зазвичай не дотримуються — тому керувати варто саме своєю віддачею.

Скільки інтернету потрібно#

Одна розмова через нашу АТС займає близько 87 кбіт/с в кожен бік — однаково для кодеків G.711 (A-law/µ-law) і G.722. Із запасом закладайте 100 кбіт/с на розмову — і на приймання, і на віддавання.

Одночасно розмовляють Потрібно на віддавання й на приймання (кожне)
1 телефон 0,1 Мбіт/с
2 0,2 Мбіт/с
4 0,4 Мбіт/с
8 0,8 Мбіт/с
10 1 Мбіт/с
20 2 Мбіт/с

Два уточнення, об які спотикаються:

  • Розмова двох телефонів усередині закладу — це два потоки через інтернет, а не нуль: голос завжди йде через АТС (кожен телефон — до АТС і назад). Рахуйте телефони, які розмовляють одночасно, а не дзвінки.
  • Вузьке місце — віддавання. В ADSL, мобільного інтернету й багатьох планів швидкість віддавання в рази менша за приймання. Якщо канал на віддавання зайнятий камерами, хмарним бекапом або завантаженням відео, голос почне рватися, навіть коли «швидкість за тестом хороша».

Якість важливіша за швидкість. Для нормальної розмови потрібні:

Показник Добре Погано чути
Втрати пакетів до 1 % більше 3 % — «булькає», зникають склади
Джиттер (розкид затримки) до 30 мс більше 50 мс — звук рветься
Затримка туди-назад до 150 мс більше 300 мс — співрозмовники перебивають одне одного

Ці самі числа АТС показує за кожною перевіркою *43 у журналі дзвінків.

Мобільний інтернет. Розмова витрачає близько 0,6 МБ за хвилину в кожен бік, тобто приблизно 1,2 МБ за хвилину загалом, або близько 72 МБ за годину розмови.

Як пораховано

Кодеки нашої АТС — G.711 (PCMA/PCMU) і G.722 — обидва передають 64 кбіт/с звуку. Телефон надсилає пакет кожні 20 мс (ptime 20 мс — стандарт для цих кодеків), тобто 50 пакетів за секунду.

  • Корисне навантаження пакета: 64 000 біт/с × 0,02 с = 1280 біт = 160 байт.
  • Заголовки: RTP 12 + UDP 8 + IPv4 20 = 40 байт → пакет на рівні IP — 200 байт.
  • На рівні IP: 200 байт × 8 × 50 пакетів/с = 80 кбіт/с.
  • У кабелі Ethernet додається ще 18 байт заголовка кадру: 218 байт × 8 × 50 = 87,2 кбіт/с — це і є «близько 87».
  • RTCP (звіти про якість, раз на кілька секунд) додає частки кбіт/с — нехтовно. PPPoE у провайдера додає 8 байт на пакет (+3,2 кбіт/с).

Формула: смуга = (навантаження + заголовки) × 8 × (1000 / ptime); для G.711 і G.722 за 20 мс: (160 + 40 + 18) × 8 × 50 = 87 200 біт/с.

Трафік: 80 кбіт/с (на рівні IP, як рахує мобільний оператор) = 10 000 байт/с × 60 = 600 000 байт ≈ 0,6 МБ за хвилину в один бік; ×2 боки = 1,2 МБ/хв; ×60 хвилин = 72 МБ/год.

Як перевірити мережу#

  1. Ехо-тест *43 з того телефону, який викликає питання: гудок → ваш власний голос. Як читати чотири наслідки (гудок без голосу, тиша, рвано) — в огляді: «Перевірка якості зв'язку». Говоріть не менше 10 секунд — тоді в журналі дзвінків з'являться втрати, джиттер і затримка.
  2. Дзвінок від АТС на апарат (картка апарата → «Перевірка» → «Зателефонувати на апарат») перевіряє зворотний шлях — ту саму «дірку» в роутері, через яку надходять вхідні.
  3. Та сама перевірка з іншої мережі (телефон або софтфон із мобільного інтернету) швидко відповідає, чи винна мережа закладу.

Якщо щось не так — розбір за симптомами:

Безпека#

  • Не виставляйте телефон, ATA або шлюз в інтернет напряму: не пробрасуйте на нього 5060, не ставте його в DMZ і не давайте йому «білий» IP. Інтернет цілодобово сканують роботи — відкритий апарат починає дзвонити ночами з номерів на кшталт «100» або «1000», а в гіршому разі його використовують для платних дзвінків. Нашій схемі проброс не потрібен узагалі.
  • Змініть заводський пароль веб-інтерфейсу телефону (admin/admin і подібні) — інакше будь-хто в мережі закладу, включно з гостьовим Wi-Fi без ізоляції, може відкрити налаштування й прочитати облікові дані.
  • Якщо в телефону є пункт «приймати SIP тільки від сервера/проксі» (Allow SIP from proxy only, Accept SIP from registrar only) — увімкніть його.
  • Оновлюйте прошивку телефонів і роутера з офіційних джерел виробника.

Часті запитання#

Чи потрібна закладу статична («біла») IP-адреса?#

Ні. Телефон сам з'єднується з АТС, і АТС запам'ятовує його за фактичною зовнішньою адресою, якою б вона не була. Працює і за «сірої» IP провайдера, і через мобільний інтернет.

Чи потрібно проброшувати порти 5060 і 10000–20000 на роутері?#

Ні, і не варто намагатися: проброс 5060 на телефон робить його видимим для сканерів з інтернету. Достатньо, щоб роутер пропускав вихідний трафік (так він налаштований із заводу).

Я не знайшов SIP ALG у своєму роутері. Що робити?#

Подивіться в розділах NAT, «Міжмережевий екран», «Безпека», «WAN», «Компоненти». Немає пункту — можливо, у моделі ALG немає взагалі; перевірте *43 і дзвінком довшим за хвилину. Якщо дзвінки рвуться через 30 секунд, а роутер провайдерський — попросіть провайдера вимкнути SIP ALG або перевести пристрій у режим моста.

Вхідні надходять лише перші хвилини після ввімкнення телефона#

Класична ознака протухлого запису NAT на роутері: телефон мовчить довше за тайм-аут UDP, і роутер забуває, куди віддавати вхідні. Увімкніть у телефоні NAT keep-alive на 15–30 секунд або переключіть транспорт на TCP. Докладно — «Дзвінок обривається» і розділ «NAT, подвійний NAT і keep-alive».

Чи вистачить нам мобільного роутера з SIM-картою?#

Для 1–3 одночасних розмов — зазвичай так: потрібно близько 0,1 Мбіт/с на розмову в кожен бік. Слабке місце — нестабільність: при втратах понад 3 % і затримці понад 300 мс розмова стане незручною. Перевірте *43 у годину пік і подивіться числа в журналі дзвінків.

Чи можна повісити телефони на гостьовий Wi-Fi?#

Краще ні. У гостьовій мережі часто увімкнена ізоляція клієнтів і сторінка входу, а канал ділять гості зі своїми відео — голос почне рватися в найзавантаженішу годину. Виділіть телефонам службову мережу або VLAN.

Пов'язані розділи#

Джерела#

Was this article helpful?
Network, softphones & reset
Демо меню гостя Почати безкоштовно