☰

Asterisk は sip.conf から間違った変数を使用します

tag-icon • tag-icon ssl asterisk rtp
Asterisk は sip.conf から間違った変数を使用します

アスタリスクを使用して安全な通話を行うために、このチュートリアルを完了しました。

セキュア通話チュートリアル | Asterisk プロジェクト Wiki

私は Ubuntu バージョン 16 (debian) で asterisk バージョン 13.19.2 を実行していますが、TLS と SRTP を追加するとすぐに問題が発生しました。

アスタリスクをインストールする場合のみこれをお読みください。これは、安全な通話を行うために TLS および SRTP サポート付きの asterisk をインストールする場合に備えてのメモです。実際の質問は一番下にあります!

  1. libsrtp と SRTP を含む asterisk 13.19.2 をインストールします。

{

# (1) make sure everything is up to date again
apt-get update
apt-get upgrade

# (2) Install dependencies that will be needed in order to install asterisk pjproject etc...
apt-get install aptitude -y
aptitude install build-essential -y
aptitude install git -y
aptitude install libssl-dev -y
aptitude install zlib1g-dev -y
aptitude install openssl  -y
aptitude install libxml2-dev -y
aptitude install libncurses5-dev -y
aptitude install uuid-dev -y
aptitude install sqlite3 -y
aptitude install libsqlite3-dev -y
aptitude install pkg-config -y
aptitude install libjansson-dev -y

# (3) make sure everything is up to date again
apt-get update
apt-get upgrade

# (4) Install libsrtp  (library used to encrypt rtp)
cd /root    
wget https://github.com/cisco/libsrtp/archive/v1.6.0.tar.gz
tar -xzf v1.6.0.tar.gz
cd libsrtp-1.6.0

./configure CFLAGS=-fPIC --prefix=/usr
make
make runtest
make install
cd ..

# (5) install pjproject 

git clone https://github.com/asterisk/pjproject pjproject
cd pjproject
 ./configure --prefix=/usr --enable-shared --disable-sound --disable-resample --disable-video --disable-opencore-amr --with-external-srtp
make dep
make

make install
cd ..


# (6) Install Asterisk  WITH SRTP AND PJPROJECT

wget http://downloads.asterisk.org/pub/telephony/asterisk/asterisk-13-current.tar.gz
tar xvf asterisk-13-current.tar.gz
cd  asterisk-13.19.2
./configure --with-pjproject --with-ssl --with-srtp

make
make install
make samples
make config

  1. キー (証明書) を生成します。これは証明機関から購入することもできます。

    # GENERATE KEYS

    # make a place for our keys mkdir /etc/asterisk/keys

    cd /root/asterisk-13.19.2/contrib/scripts

    ./ast_tls_cert -C my_company.com -O "my_company" -d /etc/asterisk/keys

    # TODO later generate keys for clients (ip phones). This part is explained on first tutorial link and is not relevant to this question

  2. sip.confとextensions.confを作成する

sip.conf:

[general]
  tcpenable=yes
  udpenable=yes
  udpbindaddr=0.0.0.0
  tcpbindaddr=0.0.0.0

  ; allow tls !
  tlsenable=yes
  tlsbindaddr=0.0.0.0:5868 ; <------------------------ note I am changing the default port 6061 to 5868
  tlscertfile=/etc/asterisk/keys/asterisk.pem ; key generated on step 2
  tlscafile=/etc/asterisk/keys/ca.crt ; certificate generated on step 2
  tlscipher=ALL
  tlsclientmethod=tlsv1
  encryption=yes
  tlsdontverifyserver=yes ; trust ublux more than godaddy!

  videosupport=yes
  nat=force_rport,comedia


; shared configuration used for ip phones
[base-config](!)
  type=peer
  ;type=friend
  disallow=all
  allow=ulaw,h264,vp8
  context=common ;<------------------ context used on extensions.conf
  dtmfmode=auto
  insecure=port,invite
  canreinvite=no
  host=dynamic
  directmedia=no
  registertrying=yes
  qualify=yes; monitof peer in order to know if its connected
  transport=tls ; Only allow secure transport!
  encryption=yes
  icesupport=yes
  dtlsenabled=yes
  dtlsverify=no

sip.conf のピア

; peer 1
[101](base-config)
  secret=password123
  setvar=ID=Tono 
  setvar=Foo=test101 

; peer 2
[102](base-config)
  secret=password123
  setvar=ID=Monir
  setvar=Foo=test102

拡張機能.conf

[general]
  static=yes
  writeprotect=no

[common]    
  exten => 101,1,NoOp(Calling 101)
  same => n,NoOp(Foo = ${Foo} )
  same => n,Dial(SIP/101)
  same => n,Hangup()

  exten => 102,1,NoOp(Calling 102)
  same => n,NoOp(Foo = ${Foo} )
  same => n,Dial(SIP/102)
  same => n,Hangup()

とにかく、ここに質問があります:

これらの手順を実行すると、電話をかけたり、電話を受けたりできるようになりますしかし、非常に奇妙なことが起こります。アスタリスクは間違った変数を使用しますたとえば、電話からアスタリスク101に電話をかけると102、ピアから変数が選択されます102。これは、2 台の電話機が NAT の背後にあるため、同じ IP アドレスを持つ場合にのみ発生することに注意してください。

証拠はこれです:

ubuntu*CLI> sip show peers
Name/username             Host                                    Dyn 
Forcerport Comedia    ACL Port     Status      Description
101                   170.55.7.131                             D  Yes        Yes            50178    Unmonitored
102                   170.55.7.131                             D  Yes        Yes            50137    Unmonitored
103                   170.55.7.132                             D  Yes        Yes            50212    Unmonitored

ピア 101 と 102 は同じルーターの背後にあるため、同じ IP アドレスが表示されます。つまり、170.55.7.131 はパブリック IP です。これらが異なるパブリック IP アドレスを持つ場合、これは発生しません。つまり、何らかの奇妙な理由で、内線 101 と 103 の間では、これは発生しません。

101 から 102 に電話をかけると、アスタリスク ログには次のように表示されます: (正解)

Executing [102@common:1] NoOp("SIP/101-00000095", "Calling 102") in new stack
Executing [102@common:2] NoOp("SIP/101-00000095", "Foo = test101 ") in new stack
Executing [102@common:3] Dial("SIP/101-00000095", "SIP/102") in new stack
Using SIP VIDEO CoS mark 6
 ....

102 から 101 に電話すると、アスタリスク ログに次のように表示されます。: (誤り)

Executing [101@common:1] NoOp("SIP/101-00000097", "Calling 101") in new stack
Executing [101@common:2] NoOp("SIP/101-00000097", "Foo = test101 ") in new stack
Executing [101@common:3] Dial("SIP/101-00000097", "SIP/101") in new stack

なぜ Foo= なのでしょtest101うか? 等しいはずですtest102!!! また、チャネル変数には、電話が通話を開始したため、それが101-00000097含ま101れているはずです。102-00000097102

アスタリスク サービスを再起動して、102 から 101 に同じ電話をかけると、アスタリスクには次のように表示されます。

Executing [101@common:1] NoOp("SIP/102-00000002", "Calling 101") in new stack
Executing [101@common:2] NoOp("SIP/102-00000002", "Foo = test102 ") in new stack
Executing [101@common:3] Dial("SIP/102-00000002", "SIP/101") in new stack

今は正しいです。アスタリスクは変数を IP アドレスにマッピングしていますか?

この問題を解決する一時的な解決策:

  1. 何らかの理由で、電話機を別の IP アドレスを持つ別の場所に置くと、この問題は発生しません。この問題は、2 台の電話機が同じネットワーク上にあり、同じパブリック IP アドレスを持つ場合にのみ発生します。NAT は異なる内部ポートを割り当てるため、これは意味がありません。

  2. セキュリティ (tls) を削除し、転送方法として udp または tcp を使用すると、この問題は発生しなくなります。

答え1

丸一日かけてようやく解決策を見つけました。インターネットから設定をコピーするとこうなります。

とにかく問題は私のsip.confに

insecure=port,invite

insecure=port で Google 検索すると、次の結果が得られます。

insecure=port ; ポート番号を一致させずに IP アドレスによるピアの一致を許可する

これでポートが無視されていた理由がわかりました。解決策としては、sip.conf に 2 つの変更を加えることでした。

  1. 変更insecure=port,invite後insecure=invite

  2. 変更type=peer後type=friend

関連情報