Présentation de la configuration « Asterisk derrière du NAT » au CNF de Hanoï.

= Problème =

Quand Asterisk a son IP publique, pas de souci. Quand Asterisk est derrière un NAT géré par Linux, ça peut encore passer grâce au module `nf_nat_sip` des noyaux récents (>= 2.6.20, il me semble).

En revanche quand Asterisk est derrière un NAT géré par Linux, lui même derrière un NAT sans support SIP (par exemple un modem ADSL), là les choses se corsent... Ça ne marche tout simplement pas car l'IP reçue par le correspondant est soit celle du serveur Asterisk, soit celle de la passerelle NAT (quand on utilise `nf_nat_sip`).

= Solution =

Il s'agit de configurer Asterisk en mode NAT externe et d'attribuer une plage de ports pour recevoir les flux RTP.

== Configuration d'Asterisk ==

 * Le support du NAT pour SIP est à activer dans `/etc/asterisk/sip.conf` :
 . {{{
; envoyer des paquets toutes les 60 secondes pour « conserver la ligne » (timeout NAT)
rtpkeepalive=60
; l'adresse IP publique (la votre) à indiquer dans toutes les requêtes SIP
externip = AAA.BBB.CCC.DDD
; les adresses de réseau locaux pour lesquels il ne faut pas utiliser l'IP externe
localnet = 10.0.0.0/8
localnet = 172.16.0.0/12
localnet = 192.168.0.0/16
; ne pas faire de NAT avec les postes clients (ils sont sensés être routés)
nat = no
}}}

 * Il faut spécifier une plage de ports dans `/etc/asterisk/rtp.conf` pour recevoir les flux RTP :
 . {{{
rtpstart=50600
rtpend=50699
}}}

 * Relancer le service Asterisk ! On peut peut-être se contenter de lui faire recharger sa configuration, mais... On est jamais trop sûr avec cette bestiole ! ;-)

== Configuration de la passerelle Linux ==

 * Il ne faut '''surtout pas''' utiliser le module `nf_nat_sip` (ou `ip_nat_sip` dans les anciens noyaux) faute de quoi l'adresse `externip` indiquée par Asterisk serait remplacée par l'adresse externe de la passerelle Linux !! Donc vérifier dans `/etc/modules` qu'il n'est pas chargé au démarrage. Si c'est le cas, le décharger du noyau avec `modprobe -r nf_nat_sip` (ou `modprobe -r ip_nat_sip`) et le commenter, voir même le mettre en liste noire en l'ajoutant dans `/etc/modprobe.d/blacklist`.

 * Il faut transférer les demandes de connexions destinées aux ports UDP entre 50600 et 50699 vers le serveur Asterisk, par exemple :
 . {{{
iptables -t nat -I PREROUTING -i $IF_EXTERNE -p udp -m multiport --dports 4569,5060,50600:50699 -j DNAT --to-destionation $IP_ASTERISK
iptables -t filter -I FORWARD -d $IP_ASTERISK -p udp -m multiport --dports 4569,5060,50600:50699 -j ACCEPT
}}}

== Configuration du modem ou autre matériel externe avec NAT sans support SIP ==

 * Il faut transférer les demandes de connexions destinées aux ports UDP entre 50600 et 50699 vers la passerelle Linux.