Проверка Firewall

[mnmkr]

Добрый день!
Возникла проблема с прохождением теста настроек Firewall - все что начинается с sip не проходит тест.

Сначала для тестов развернул систему под Windows Server 2016 на VirtualBox. Отключил на роутере KeeneticGiga sip alg, настроил проброс портов и тесты были пройдены успешно. Транки поднялись, звонки проходят. Т.е. со стороны Keenetic Giga проблем нет.


Теперь разворачиваю на "боевую", схема следующая - Keenetic Giga (в роли провайдера, static WAN IP) --> Cisco 2911 (server VLAN)-> Cisco 2960 access port -> MS Windows server 2016 Hyper-V --> MS Server 2016 виртуалка с АТС. На Cisco 2911 пробросил все необходимые порты, на KeeneticGiga сделал перенаправление всех портов на интерфейс Cisco.

Тестировал порты на доступность из Интернета разными онлайн тестерами, проверял из локальной сети, все необходимые порты есть.
Проверка фаерволла из веб-интерфейса проваливается. Пролистал форум до 25й страницы, попалось в одной из тем что если все работает, то не обращайте внимание на ошибки. Прочитал статью "Почему проверка фаерволла не врет", очень похоже что не врет!
Хотелось бы все же разобраться почему валится проверка портов. Смотрел таблицу трансляции адресов, порт 5060 не изменяется, но даже он стабильно не проходит проверку. Вдобавок висит SIP ALG, хотя во всех настройках убран. Фаервол в гостевой системе проверен, 3CX правила на порты прописаны.
Прошу совета, идей особо больше нет.

 

[igorsnezhko]

А SIP порт 5060 у вас открыт для всего мира или для каких-то отдельных внешних адресов?

 

[mnmkr]

Для всего, будем работать в качестве оператора.
Я уже думаю может в дизайне проблема? Но просто выставлять сервер наружу тоже не хочется.

 

[mnmkr]

РЕШЕНИЕ.

В отсутствии идей, пришлось копать не вширь, а вглубь. Проверил Wireshark прохождение трафика во время проверки фаервола, обнаружил что после циски порты не изменяется, а вот после Keenetic протокол STUN показывает port mapping и, соответственно, порт 5060 изменяется на рандомный (не совсем, рандом, а инкрементируется от предыдущего).

Стал копать дальше, на сайте Zyxel по NAT вычитал: "изменилась логика работы NAT для соответствия с документом RFC 4787 "Network Address Translation (NAT) Behavioral Requirements for Unicast UDP". В частности, изменение касается прохождения UDP-трафика. Теперь по умолчанию UDP-порт источника при прохождении NAT изменяется на произвольный, отличный от исходного."

Решение:
<config> ip nat udp-port-preserve
<config> system configuration save

В общем Keenetic самостоятельно обновил ОС и в части NAT стал работать по-другому (вот такое совпадение - когда тестил на VirtualBox, была еще старая прошивка).
После внесения указанных выше строчек в конфиг, проверки стали проходить.