[Gelöst] fpbx distro reboot: tcptls.c: Unable to connect SIP socket to [...] No route to host

[sam-j]

Hallo,
ich benutze FreePBX 6.12.65-26 Distro und habe just tls und srtp eingerichtet. In /etc/asterisk/sip_custom.conf habe ich folgendes hinzugefügt:

tlsenable=yes
tlsbindaddr=0.0.0.0
tlscertfile=/etc/pki/CA/asterisk.pem
tlscafile=/etc/pki/CA/certs/ca.cert.pem
tlscipher=AES256-SHA:AES128-SHA
tlsclientmethod=tlsv1

bei der Konfig der Extension habe ich folgendes gesetzt:

transport: tls only
Enable encryption: Yes (SRTP only)

Das Testtelefon ist ein Grandstream GXP2110 welches sich extern (wan) registriert. Beim Telefon habe ich folgende Einstellungen vorgenommen:

Sip Transport: TLS/TCP
SIP URI Scheme When Using TLS: SIPS
SRTP Mode: enabled and forced.

Asterisk RTP ports sind 10000-20000, Telefon und FreePBX sind beide jeweils hinter einem NAT.

Alles funktioniert prima, inbound & outbound Anrufe, bis ich die FreePBX VM neu starte. danach gehen nur noch outbound aber keine inbound Anrufe mehr. Das Log sagt:

[2015-03-21 09:24:06] ERROR[1945] tcptls.c: Unable to connect SIP socket to
[IP of external extension]:52224: No route to host

Alle nicht tls / srtp nutzenden Extensions funktionieren nach wie vor. Wenn ich das Telefon sich neu registrieren lasse (account disable - enable)
funktioniert wieder alles fein.

Registered SIP '9881' at [IP of external extension]:52475

Wenn ich das Telefon aus dem NAT rausnehme und in eine DMZ stecke kommt:

ERROR[2274] tcptls.c: Unable to connect SIP socket to [IP of external extension]:45427: Connection refused

Nnach dem reboot der FreePBX VM tauchte nach ca. 49 minuten eine "Registered SIP" message im Log auf und das Telefon war wieder erreichbar.

Am telefon habe ich alle möglichen Optionen wie cryptolifetime, symmetric rtp and Use Actual Ephemeral Port in Contact with TCP/TLS ohne Erfolg durchprobiert.
Am Telefon sind auch Check Domain Certificates, Validate Incoming Messages, Check SIP User ID for Incoming INVITE,Accept Incoming SIP from Proxy Only, Authenticate Incoming INVITE alle auf no gesetzt.

Langsam gehen mir die Ideen aus. Jmd ne idee?

 

[sam-j]

next try, diesmal nur 21 Minuten, bis das Telefon wieder erreichbar war...

 

[sam-j]

OK, habe die Lösung gefunden. Die folgenden Optionen

Register Expiration
Reregister Before Expiration

beim Telefon niedriger setzen. Habe nun die Register Zeit auf 10 Minuten und die Reregister auf 5 Minuten gesetzt.
Das Probem ist im Übrigen unabhänig vom NAT, es tritt auch bei Extensions im LAN auf und tritt auch bei nem Asterisk und nicht nur FreePBX Neustart auf.