Mạng, router và internet cho điện thoại

Điện thoại IP là một thiết bị trong mạng của cơ sở giống như thu ngân hay máy tính: nó đi ra internet qua router của bạn đến tổng đài của chúng tôi. Hầu như luôn luôn nó “chỉ chạy”, còn khi không chạy thì thủ phạm là ba-bốn cài đặt router giống nhau ở mọi hãng. Trang này nói về việc mạng cần đúng những gì, tắt “trợ lý” SIP ALG gây cản trở ở đâu trên router các hãng phổ biến và một cuộc gọi cần bao nhiêu internet.

Cần nhập gì vào chính điện thoại (máy chủ, tên đăng nhập, mật khẩu) — trong bài tổng quan “Cấu hình điện thoại SIP”. Kiểm tra âm thanh sau mọi thay đổi trong mạng — bài kiểm tra tiếng vọng *43 (xem “Cách kiểm tra mạng”).

Tóm tắt: năm quy tắc#

1. Không cần mở cổng. Điện thoại tự kết nối với tổng đài từ bên trong mạng của bạn — không có kết nối vào từ bên ngoài.
2. Tắt SIP ALG trên router (còn gọi là “SIP Helper”, “SIP Passthrough”). Đây là nguyên nhân phổ biến nhất của “cuộc gọi đứt sau 30 giây” và “không nghe thấy tôi” — xem ở hãng của bạn.
3. Điện thoại — vào mạng nội bộ, tốt nhất là bằng cáp. Không vào Wi-Fi khách: ở đó các thiết bị bị cô lập với nhau, và thường có trang đăng nhập mà điện thoại không vượt qua được.
4. Internet cần ít, nhưng ổn định: khoảng 100 kbit/s mỗi chiều cho một cuộc trò chuyện. Quan trọng không phải tốc độ mà là kênh không bị lấp “kịch trần” — đặc biệt là chiều lên.
5. Sau mọi thao tác với mạng, hãy bấm *43. Chấm xanh trong trang quản trị nói lên việc đăng ký, chứ không phải âm thanh.

Cuộc gọi đi qua mạng như thế nào#

 Điện thoại IP ──► router của cơ sở ──► internet ──► tổng đài Cenaly
 (192.168.x.x)   (NAT: thay địa chỉ    nhà cung cấp  sip.<tên miền của bạn>
                  bằng địa chỉ ngoài)                hoặc máy riêng

Mọi luồng di chuyển đều do điện thoại khởi tạo:

1. Điện thoại gửi đăng ký đến tổng đài (cổng 5060). Router ghi nhớ: “các gói từ cổng ngoài này — là của điện thoại 192.168.x.x” — đây gọi là dịch địa chỉ (NAT).
2. Tổng đài trả lời và sau đó gửi các cuộc gọi đến đúng nơi mà đăng ký đã đến, — qua cùng một “lỗ hổng” trong router. Vì vậy không cần mở cổng: cánh cửa do chính điện thoại mở.
3. Âm thanh (RTP) điện thoại cũng tự gửi đi, và tổng đài trả lời bằng âm thanh đến đúng địa chỉ và cổng mà nó đã đến từ đó.

Từ đó có hai điều kiện mà thiếu chúng thì liên lạc sẽ hỏng: router không được viết lại nội dung các gói SIP (việc này do SIP ALG làm) và không được quên “lỗ hổng” trong lúc điện thoại im lặng giữa các cuộc gọi (việc này là keep-alive). Cả hai được phân tích dưới đây.

Cổng cho quản trị viên mạng#

Quy tắc chỉ một: cho phép kết nối ra đến địa chỉ tổng đài và các trả lời cho nó (tường lửa “stateful” thông thường tự làm việc này). Không cần quy tắc vào và mở cổng.

Địa chỉ tổng đài là tên, không phải IP: nó được hiển thị trong cửa sổ “Thông tin đăng nhập số nội bộ” (sip.<tên miền của bạn> ở luồng chung hoặc tên máy riêng của bạn). Đừng gõ IP vào quy tắc “theo trí nhớ” và đừng lấy nó từ trang này — ở đây cố ý không có.

SIP ALG — tắt trên router#

Đây là gì. SIP ALG (Application Layer Gateway; ở các hãng khác nhau còn gọi là “SIP Helper”, “SIP Passthrough”, “ALG cho SIP”) — là một tính năng của router “hỗ trợ” điện thoại: nó chui vào bên trong các gói SIP và viết lại địa chỉ trong đó. Tính năng này được tạo ra cho các điện thoại cũ không biết cách hoạt động sau NAT. Tổng đài của chúng ta tự làm được việc này (xem khối ở trên), và router với sự “hỗ trợ” của nó chỉ gây cản trở.

Cách nó phá hỏng. Nó thường viết lại sai hoặc chỉ viết lại một nửa số gói. Các dấu hiệu điển hình:

• cuộc gọi ngắt đúng sau ~30 giây sau khi trả lời — xác nhận trả lời (ACK) đã đi sai chỗ, và một bên đặt máy theo bộ đếm thời gian;
• chỉ nghe được một bên hoặc không có âm thanh hoàn toàn — địa chỉ trong phần mô tả luồng thoại bị thay thế;
• điện thoại lúc đăng ký được, lúc không, cuộc gọi đến chỉ đến được vài lần.

Cơ chế của những hỏng hóc này được phân tích chi tiết trong các trang “Cuộc gọi bị ngắt” và “Không có âm thanh, chỉ nghe được một chiều”. Ở đây — tắt ở đâu.

“Mặc định từ nhà máy: trong tài liệu không ghi rõ” nghĩa là nhà sản xuất không ghi ALG có được bật sẵn hay không — hãy vào xem. Các đường dẫn được lấy từ hướng dẫn chính thức của nhà sản xuất (danh sách — trong “Nguồn”); ở firmware khác, tên các mục có thể hơi khác.

Nếu router là của nhà mạng (thiết bị đầu cuối quang, “hộp” từ nhà cung cấp internet) và không thấy mục đó — menu thường bị cắt gọn. Hãy gọi cho nhà mạng và yêu cầu: “tắt SIP ALG trên router của tôi” hoặc “chuyển thiết bị đầu cuối sang chế độ bridge”, nếu phía sau nó là router riêng của bạn.

Sau khi tắt hãy khởi động lại router và điện thoại (các bản ghi NAT cũ tồn tại đến khi khởi động lại hoặc hết bộ đếm thời gian), sau đó bấm *43.

NAT, NAT kép và keep-alive#

Keep-alive. Router ghi nhớ “lỗ hổng” dành cho điện thoại chừng nào còn có gói tin đi qua đó. Nếu điện thoại im lặng lâu hơn thời gian chờ UDP trên router, bản ghi sẽ bị xóa — và cuộc gọi đến không tới được điện thoại, dù trong trang quản trị vẫn còn hiển thị chấm xanh thêm vài phút (“gọi ra được, gọi vào không được”). Với router chạy Linux (nhiều mẫu router gia đình và router của nhà mạng chạy trên nền này), thời gian chờ mặc định là 30 giây cho luồng UDP một chiều và 120 giây cho luồng có phản hồi; với MikroTik là 30 giây và 3 phút.

Vì vậy:

• trên điện thoại, bật NAT keep-alive (còn gọi là “NAT Keep-alive”, “Keep Alive Interval”, “UDP keep-alive”) với khoảng thời gian 15–30 giây, nếu có mục này;
• hoặc chuyển điện thoại sang TCP — router giữ kết nối TCP lâu hơn nhiều (tổng đài của chúng tôi nhận TCP trên cùng cổng 5060);
• tổng đài về phía mình cũng dò từng điện thoại mỗi 60 giây — điều này có giúp ích, nhưng với router có thời gian chờ 30 giây thì chỉ riêng việc đó là chưa đủ.

NAT kép — khi phía sau router của nhà mạng hoặc thiết bị quang đầu cuối có router riêng của bạn, và cả hai đều làm NAT. Tổng đài của chúng tôi chỉ thấy địa chỉ ngoài cùng và vẫn hoạt động như vậy, nhưng: phải tắt SIP ALG trên cả hai thiết bị, và keep-alive phải nằm trong khoảng thời gian chờ ngắn hơn trong hai mức. Cách tốt nhất là chuyển thiết bị của nhà mạng sang chế độ bridge để chỉ còn một lớp NAT.

Internet di động và IP “xám” của nhà mạng (CGNAT) — đây cũng là NAT kép, chỉ khác là lớp ngoài cùng thuộc nhà mạng và không thể cấu hình được. Vẫn hoạt động, nhưng keep-alive đặc biệt quan trọng: thời gian chờ của các nhà mạng có thể rất ngắn.

Cáp, Wi-Fi, PoE, VLAN và QoS#

• Cáp tốt hơn Wi-Fi. Hãy kết nối điện thoại để bàn bằng cáp. Wi-Fi làm tăng độ trễ và mất gói, đặc biệt trong phòng khách nơi khách chia sẻ mạng; khi chuyển giữa các điểm truy cập, cuộc trò chuyện có thể bị ngắt.
• Mạng khách không dành cho điện thoại. Trong đó thường bật cô lập máy khách (các thiết bị không thấy nhau — máy tính không mở được giao diện web của điện thoại) và đôi khi có trang đăng nhập (“captive portal”) mà điện thoại không thể vượt qua.
• Để chạy khắp phòng, dùng DECT chứ không phải điện thoại Wi-Fi. Ống nghe DECT hoạt động trên sóng riêng, không phụ thuộc Wi-Fi và giữ pin lâu hơn.
• Cấp nguồn qua PoE. Hầu hết điện thoại văn phòng được cấp nguồn từ switch theo chuẩn PoE 802.3af — không cần bộ nguồn riêng. Nếu switch không có PoE, bộ nguồn thường được bán riêng. Điện thoại video và máy có mô-đun mở rộng có thể cần PoE+ (802.3at).
• Softphone trên smartphone trong Wi-Fi sẽ mất đăng ký khi chuyển sang mạng di động — xem “Softphone”.

Cần bao nhiêu internet#

Một cuộc trò chuyện qua tổng đài của chúng tôi chiếm khoảng 87 kbit/s mỗi chiều — như nhau đối với codec G.711 (A-law/µ-law) và G.722. Hãy dự phòng 100 kbit/s cho mỗi cuộc trò chuyện — cả chiều nhận lẫn chiều gửi.

Hai điểm cần làm rõ mà nhiều người hay nhầm:

• Cuộc trò chuyện giữa hai điện thoại trong cùng cơ sở là hai luồng qua internet, không phải bằng không: giọng nói luôn đi qua tổng đài (mỗi điện thoại — đến tổng đài rồi quay lại). Hãy tính số điện thoại đang nói chuyện cùng lúc, không phải số cuộc gọi.
• Nút thắt là chiều gửi. Với ADSL, internet di động và nhiều gói cước, tốc độ chiều gửi thấp hơn chiều nhận nhiều lần. Nếu kênh chiều gửi bị camera, sao lưu đám mây hoặc tải video chiếm dụng, giọng nói sẽ bắt đầu rè, ngay cả khi “tốc độ đo được vẫn tốt”.

Chất lượng quan trọng hơn tốc độ. Để cuộc trò chuyện bình thường, cần:

Tổng đài cũng hiển thị chính các con số này theo từng lần kiểm tra *43 trong nhật ký cuộc gọi.

Internet di động. Một cuộc trò chuyện tiêu tốn khoảng 0,6 MB mỗi phút mỗi chiều, tức khoảng 1,2 MB mỗi phút tổng cộng, hay khoảng 72 MB mỗi giờ trò chuyện.

Cách kiểm tra mạng#

1. Kiểm tra tiếng vọng *43 từ chiếc điện thoại đang có vấn đề: tiếng tút → giọng nói của chính bạn. Cách đọc bốn kết quả (có tút mà không có giọng, im lặng, đứt quãng) — trong bài tổng quan: “Kiểm tra chất lượng liên lạc”. Hãy nói ít nhất 10 giây — khi đó nhật ký cuộc gọi sẽ hiển thị mất gói, jitter và độ trễ.
2. Cuộc gọi từ tổng đài đến thiết bị (thẻ thiết bị → “Kiểm tra” → “Gọi đến thiết bị”) kiểm tra đường về — chính cái “lỗ hổng” trong router mà qua đó các cuộc gọi đến đi vào.
3. Cùng phép kiểm tra từ mạng khác (điện thoại hoặc softphone dùng internet di động) nhanh chóng cho biết có phải mạng của cơ sở là thủ phạm không.

Nếu có gì đó không ổn — phân tích theo triệu chứng:

• Không đăng ký được: thông báo và mã lỗi
• Không có âm thanh, chỉ nghe một chiều, tiếng vọng, “giọng robot”
• Cuộc gọi bị ngắt sau 30 giây hoặc sau 15–30 phút
• Tất cả triệu chứng — chẩn đoán

Bảo mật#

• Đừng đưa điện thoại, ATA hay gateway ra internet trực tiếp: đừng chuyển tiếp 5060 đến nó, đừng đặt nó vào DMZ và đừng cấp cho nó IP “trắng”. Robot quét internet suốt ngày đêm — thiết bị mở sẽ bắt đầu gọi vào ban đêm từ các số như “100” hay “1000”, và trong trường hợp xấu nhất nó bị dùng để gọi tính phí. Sơ đồ của chúng tôi hoàn toàn không cần chuyển tiếp.
• Đổi mật khẩu gốc của giao diện web trên điện thoại (admin/admin và tương tự) — nếu không, bất kỳ ai trong mạng cơ sở, kể cả Wi-Fi khách không cách ly, đều có thể mở cài đặt và đọc thông tin đăng nhập.
• Nếu điện thoại có mục “chỉ nhận SIP từ server/proxy” (Allow SIP from proxy only, Accept SIP from registrar only) — hãy bật nó.
• Cập nhật firmware của điện thoại và router từ nguồn chính thức của nhà sản xuất.

Câu hỏi thường gặp#

Cơ sở có cần địa chỉ IP tĩnh (“IP trắng”) không?#

Không. Điện thoại tự kết nối với tổng đài, và tổng đài ghi nhớ nó theo địa chỉ bên ngoài thực tế, bất kể địa chỉ đó là gì. Hoạt động được cả với IP “xám” của nhà cung cấp và qua internet di động.

Có cần mở cổng 5060 và 10000–20000 trên router không?#

Không, và cũng không cần thử: việc mở cổng 5060 tới điện thoại khiến nó hiển thị với các máy quét từ internet. Chỉ cần router cho phép lưu lượng đi ra (mặc định từ nhà máy đã như vậy).

Tôi không tìm thấy SIP ALG trong router của mình. Phải làm gì?#

Hãy xem trong các mục NAT, “Tường lửa”, “Bảo mật”, “WAN”, “Thành phần”. Không có mục đó — có thể model này hoàn toàn không có ALG; hãy kiểm tra bằng *43 và một cuộc gọi dài hơn một phút. Nếu cuộc gọi bị ngắt sau 30 giây, mà router là của nhà cung cấp — hãy đề nghị nhà cung cấp tắt SIP ALG hoặc chuyển thiết bị sang chế độ bridge.

Cuộc gọi đến chỉ đến trong những phút đầu sau khi bật điện thoại#

Đây là dấu hiệu kinh điển của bản ghi NAT trên router đã hết hạn: điện thoại im lặng lâu hơn thời gian chờ UDP, và router quên mất nơi cần chuyển cuộc gọi đến. Hãy bật NAT keep-alive trên điện thoại trong 15–30 giây hoặc chuyển giao thức sang TCP. Chi tiết — “Cuộc gọi bị ngắt” và mục “NAT, NAT đôi và keep-alive”.

Router di động với SIM có đủ cho chúng tôi không?#

Với 1–3 cuộc trò chuyện đồng thời — thường là đủ: cần khoảng 0,1 Mbit/s cho mỗi cuộc trò chuyện theo mỗi chiều. Điểm yếu là sự không ổn định: khi mất gói trên 3 % và độ trễ trên 300 ms, cuộc trò chuyện sẽ trở nên khó chịu. Hãy kiểm tra *43 vào giờ cao điểm và xem các con số trong nhật ký cuộc gọi.

Có thể gắn điện thoại vào Wi-Fi khách không?#

Tốt nhất là không. Trong mạng khách thường bật cách ly máy khách và trang đăng nhập, còn băng thông thì khách chia sẻ với video của họ — giọng nói sẽ bắt đầu bị ngắt vào đúng giờ cao điểm nhất. Hãy dành cho điện thoại một mạng nội bộ hoặc VLAN riêng.

Các mục liên quan#

• Tổng quan: kết nối điện thoại với tổng đài — thông tin đăng nhập, kiểm tra echo *43, khôi phục cài đặt gốc
• Softphone: Zoiper, MicroSIP, Linphone
• Chẩn đoán theo triệu chứng
• Không đăng ký được: thông báo và mã lỗi
• Không có âm thanh, chỉ nghe một chiều, echo, “robot”
• Cuộc gọi bị ngắt

Nguồn#

• Keenetic: Application-layer gateway (ALG) for SIP — https://support.keenetic.com/explorer/kn-1613/en/51136-application-layer-gateway--alg--for-sip.html ; cài đặt và gỡ bỏ thành phần (Component options, tự động khởi động lại) — https://support.keenetic.com/explorer/kn-1613/en/16326-os-components-installation-removal.html ; bản tiếng Nga tương tự (Netcraze): https://support.netcraze.ru/challenger/nc-3910/ru/16326-os-components-installation-removal.html , tên thành phần — https://support.netcraze.ru/challenger/nc-3910/ru/16327-os-component-description.html
• MikroTik RouterOS: NAT → NAT Helpers (/ip firewall service-ports) — https://help.mikrotik.com/docs/spaces/ROS/pages/3211299/NAT ; Connection tracking (udp-timeout 30 giây, udp-stream-timeout 3 phút) — https://help.mikrotik.com/docs/spaces/ROS/pages/130220087/Connection+tracking
• TP-Link: Archer AX55 v4 User Guide (Advanced > Security > ALG) — https://static.tp-link.com/upload/manual/2023/202312/20231201/1910013469_Archer%20AX55_UG_REV4.0.0.pdf ; FAQ 343 cho modem xDSL (Advanced > NAT Forwarding > ALG) — https://www.tp-link.com/us/support/faq/343/ ; FAQ 2422 cho Deco — https://www.tp-link.com/us/support/faq/2422/ ; Omada Gateway User Guide (Transmission > NAT > ALG) — https://static.tp-link.com/upload/manual/2026/202603/20260311/Omada%20Gateway%20(New%20VI)_UG.pdf
• D-Link: DIR-X1530, hướng dẫn sử dụng v4.0.1 (Bổ sung / ALG/Passthrough) — https://ftp.dlink.ru/pub/Router/DIR-X1530/Description/DIR-X1530_A1_User%20Manual_v.4.0.1._13.07.22_RU.pdf ; DIR-842 rev B manual 2.01 (Advanced > Firewall > Advanced Settings > SIP) — https://support.dlink.com/resource/products/DIR-842/REVB/DIR-842_REVB_MANUAL_2.01_EN_US.PDF
• Zyxel: VMG8825-T50K User's Guide (Network Setting > NAT > ALG) — https://download.zyxel.com/VMG8825-T50K/user_guide/VMG8825-T50K_V5.13_5.50.pdf ; ATP500 ZLD 4.60 web help (Configuration > Network > ALG) — http://webhelp.zyxel.com/wohView/help_docs/ATP500_V4.60_ABFU/ZW%20ATP/h_ALG.html
• ASUS: [Wireless Router] WAN - NAT Passthrough Introduction (SIP Passthrough, giá trị mặc định) — https://www.asus.com/support/faq/1011727/
• NETGEAR: How do I disable SIP ALG on my NETGEAR device using the router web interface? (“By default NETGEAR routers have SIP ALG turned ON”) — https://kb.netgear.com/30796/How-do-I-disable-SIP-ALG-on-my-NETGEAR-device-using-the-router-web-interface ; Orbi User Manual — https://www.downloads.netgear.com/files/GDC/RBK50/Orbi_UM_EN.pdf
• DrayTek: Enable ALG on Vigor Router (NAT >> ALG, firmware 3.8.5+) — https://www.draytek.com/support/knowledge-base/5598 ; DrayTek UK: SIP ALG (tắt theo mặc định, sys sip_alg 0) — https://www.draytek.co.uk/support/guides/kb-sip-alg
• AVM: IP-Telefon oder Internettelefonie-Software im FRITZ!-Heimnetz einsetzen (Wissensdokument #268) — https://fritz.com/service/wissensdatenbank/dok/FRITZ-Box-7590/268_IP-Telefon-oder-Internettelefonie-Software-im-FRITZ-Heimnetz-einsetzen/
• Ubiquiti: UniFi Talk Network Firewall Requirements (“UniFi Cloud Gateways do not apply SIP ALG”) — https://help.ui.com/hc/en-us/articles/43476960093463-UniFi-Talk-Network-Firewall-Requirements
• Tenda: hướng dẫn AC6/AC7/AC8/AC10/AC11 (không có mục SIP ALG) — https://www.tendacn.com/prod/api/download/3926 ; User Guide of DSL Modem Router V15 (Advance > Services > ALG) — https://static.tenda.com.cn/other/qrcoder/Web%20User%20Guide-V15.pdf
• Fortinet: FortiGate 7.6 Administration Guide — SIP ALG and SIP session helper — https://docs.fortinet.com/document/fortigate/7.6.6/administration-guide/147933/sip-alg-and-sip-session-helper
• OpenWrt: kmod-nf-nathelper-extra — https://openwrt.org/packages/pkgdata/kmod-nf-nathelper-extra ; Firewall configuration (auto_helper) — https://openwrt.org/docs/guide-user/firewall/firewall_configuration
• Tài liệu nhân Linux: Netfilter Conntrack Sysfs variables (nf_conntrack_udp_timeout = 30 giây, nf_conntrack_udp_timeout_stream = 120 giây) — https://docs.kernel.org/networking/nf_conntrack-sysctl.html
• RFC 3581 — Symmetric Response Routing (rport) — https://www.rfc-editor.org/rfc/rfc3581
• RFC 3550 — RTP và RTCP (tiêu đề RTP 12 byte, báo cáo RTCP) — https://www.rfc-editor.org/rfc/rfc3550
• Mã tổng đài: cổng của đường truyền chung (UDP/TCP 5060, UDP 10000–10200) — sip-edge/setup-infra.sh, sip-edge/asterisk/rtp.conf; cổng của máy chuyên dụng (UDP/TCP 5060, TCP 5061, UDP 10000–20000) — lambdas/pbx-provisioner-go/naming.go; NAT (force_rport, rewrite_contact, rtp_symmetric, direct_media=no), thời hạn đăng ký 60–3600 giây, thăm dò OPTIONS mỗi 60 giây, codec — shared/sip/advanced-options.json