MikroTik EoIP tüneli üzerinden iki Issabel arasında SIP trunk ile iki ofisin telefonlarını bağlamak
Kategori: VoIP

İki şehirde ofisi olan bir şirketin genellikle her ofiste bir Issabel santrali ve bir MikroTik router’ı vardır. İki ofisteki çalışanların dahili numarayla ve operatör ücreti ödemeden konuşabilmesi için iki şey gerekir: ofisler arasında güvenli bir ağ bağlantısı ve iki Issabel arasında bir trunk.

Bu makalede ağ bağlantısını MikroTik’in EoIP tüneliyle kuruyor, üzerinde iki Issabel arasında bir SIP trunk çalıştırıyoruz. Komutlar RouterOS 7 ve Issabel 4 için yazılmıştır.

Senaryo

  • Ofis A: 203.0.113.10 genel adresli MikroTik, iç ağ 192.168.10.0/24, Issabel 192.168.10.5, dahililer 1XX
  • Ofis B: 198.51.100.20 genel adresli MikroTik, iç ağ 192.168.20.0/24, Issabel 192.168.20.5, dahililer 2XX

Adresler örnektir. İki koşula en baştan uyun:

  • İki iç ağın adres aralığı aynı olmamalı.
  • İki ofisin dahili numaraları çakışmamalı; örneğin ofis A 101–199, ofis B 201–299.

Neden EoIP?

EoIP (Ethernet over IP), iki router arasında sanal bir Ethernet arayüzü oluşturan MikroTik’e özgü bir tüneldir. Kurulumu basittir ve tek bir ayarla IPsec şifrelemesi de eklenir. İki sınırı vardır:

  • İki uç da MikroTik olmalıdır.
  • İki router’ın da sabit genel adresi olmalıdır.

Uçlardan biri MikroTik değilse IPsec kullanın; MikroTik ile Cisco arasında IPsec tüneli makalesi bunu anlatıyor.

Köprü mü, yönlendirme mi?

EoIP iki şekilde kullanılabilir:

  • Köprü (bridge): Tüneli iç ağla köprülersiniz ve iki ofis tek bir katman 2 ağı olur. Basit görünür, ama iki ofisin broadcast ve DHCP trafiği tünelden geçer ve bir ofisteki her sorun diğerine sıçrar.
  • Yönlendirme (routing): Tünelin iki ucuna adres verir ve iki ağ arasında rota yazarsınız. Her ofis kendi ağını korur ve yalnızca gereken trafik tünelden geçer.

İki Issabel arasındaki trunk için yönlendirme yöntemi daha kararlı ve daha kontrol edilebilirdir; bu makale bu yöntemi izliyor.

Yönlendirilmiş EoIP tüneli: tünel üzerinde küçük bir ağ ve her router’da bir rota
Yönlendirilmiş EoIP tüneli: tünel üzerinde küçük bir ağ ve her router’da bir rota

Birinci bölüm: İki MikroTik arasında EoIP tüneli

1. Tüneli oluşturma

MikroTik A’da:

/interface eoip add name=eoip-office-b local-address=203.0.113.10 remote-address=198.51.100.20 tunnel-id=10 ipsec-secret="Str0ng-Tunnel-Key" allow-fast-path=no keepalive=10s,5

MikroTik B’de:

/interface eoip add name=eoip-office-a local-address=198.51.100.20 remote-address=203.0.113.10 tunnel-id=10 ipsec-secret="Str0ng-Tunnel-Key" allow-fast-path=no keepalive=10s,5

Birkaç not:

  • tunnel-id iki tarafta aynı olmalıdır.
  • ipsec-secret tüneli şifreler ve iki tarafta aynı olmalıdır. O olmadan görüşmeler internetten şifresiz geçer. Bu makaledeki örneği değil, kendi anahtarınızı kullanın.
  • ipsec-secret ayarlandığında allow-fast-path no olmalıdır.
  • keepalive, karşı taraf erişilemez olursa arayüzün running durumundan çıkmasını sağlar.

Winbox’ta bu ayarlar Interfaces → EoIP Tunnel altındadır.

2. Tünelin iki ucuna adres verme

Yalnızca tünel için küçük bir /30 ağı ayırıyoruz.

MikroTik A:

/ip address add address=10.255.255.1/30 interface=eoip-office-b comment="EoIP to office B"

MikroTik B:

/ip address add address=10.255.255.2/30 interface=eoip-office-a comment="EoIP to office A"

3. Karşı ofisin ağına rota

MikroTik A:

/ip route add dst-address=192.168.20.0/24 gateway=10.255.255.2 comment="Office B LAN"

MikroTik B:

/ip route add dst-address=192.168.10.0/24 gateway=10.255.255.1 comment="Office A LAN"

4. Router güvenlik duvarı

Karşı router’ın tüneli kurmasına izin verin. Bu kuralları input zincirindeki drop kuralının üstüne koyun.

MikroTik A (B’de aynı kurallar 203.0.113.10 adresiyle):

/ip firewall filter add chain=input action=accept protocol=udp dst-port=500,4500 src-address=198.51.100.20 comment="IKE from office B"
/ip firewall filter add chain=input action=accept protocol=ipsec-esp src-address=198.51.100.20 comment="ESP from office B"
/ip firewall filter add chain=input action=accept protocol=gre src-address=198.51.100.20 comment="EoIP from office B"

İki ofis arasındaki trafik internet arayüzünden değil, tünel arayüzünden çıkar; bu yüzden masquerade kuralınız out-interface-list=WAN ile yazılmışsa NAT muafiyetine gerek yoktur. masquerade çıkış arayüzü olmadan yazılmışsa onu internet arayüzüyle sınırlayın.

5. SIP Helper’ı kapatma

MikroTik’in SIP ALG servisi bazen SIP paketlerini değiştirir ve tek yönlü sese ya da çağrının kopmasına yol açar. İki router’da da kapatın:

/ip firewall service-port disable sip

6. Tüneli test etme

/interface eoip print
/ip ipsec active-peers print
/ping 10.255.255.2
/ping 192.168.20.5 src-address=192.168.10.1

eoip print çıktısında arayüzün R (running) bayrağı olmalı, active-peers’ta durum established olmalıdır. Karşı Issabel ping’e yanıt vermeden trunk’a geçmeyin.

İkinci bölüm: İki Issabel arasında SIP trunk

İki ofis arasında bir çağrının yolu: dahili 101, Issabel A, EoIP tüneli, Issabel B ve dahili 201
İki ofis arasında bir çağrının yolu: dahili 101, Issabel A, EoIP tüneli, Issabel B ve dahili 201

1. Karşı ofisin ağını Issabel’a tanıtma

Issabel’da bir SIP sağlayıcı ya da dış hat için genel adres (External IP) ayarlıysa karşı ofisin ağını yerel ağ olarak tanıtmalısınız; yoksa Issabel oraya da genel adresi gönderir ve ses tek yönlü olur.

PBX → PBX Configuration → Asterisk SIP Settings’te, Local Networks bölümünde:

  • Issabel A’da: 192.168.20.0 / 255.255.255.0 ekleyin.
  • Issabel B’de: 192.168.10.0 / 255.255.255.0 ekleyin.

2. Issabel A’da trunk oluşturma

PBX → PBX Configuration → Trunks’tan Add SIP Trunk’a tıklayın.

  • Trunk Name: to-office-b
  • Outbound CallerID: Boş bırakın; arayanın dahili numarası karşı tarafa ulaşsın.

Outgoing Settings bölümünde:

  • Trunk Name: office-b
  • PEER Details:
host=192.168.20.5
type=friend
context=from-internal
qualify=yes
insecure=port,invite
nat=no
dtmfmode=rfc2833
disallow=all
allow=alaw&ulaw
deny=0.0.0.0/0.0.0.0
permit=192.168.20.5/255.255.255.255

Incoming Settings ve Register String bölümlerini boş bırakıp Submit’e basın.

3. Issabel B’de trunk oluşturma

Aynı işlem, ad ve adres ters olarak:

  • Trunk Name: to-office-a
  • Outgoing Settings → Trunk Name: office-a
  • PEER Details:
host=192.168.10.5
type=friend
context=from-internal
qualify=yes
insecure=port,invite
nat=no
dtmfmode=rfc2833
disallow=all
allow=alaw&ulaw
deny=0.0.0.0/0.0.0.0
permit=192.168.10.5/255.255.255.255

Bu trunk karşı tarafı kullanıcı adı ve şifreyle değil, IP adresiyle tanır. deny ve permit satırları, trunk’ı yalnızca karşı ofisin Issabel sunucusunun kullanabilmesini sağlar.

4. Giden rota (Outbound Route)

Issabel A’da Outbound Routes altında bir rota oluşturun:

  • Route Name: to-office-b
  • Dial Patterns: match pattern alanında 2XX
  • Trunk Sequence: to-office-b trunk’ı

Issabel B’de 1XX desenli ve to-office-a trunk’lı bir rota oluşturun.

Bu rotayı listede dış hat rotalarının üstüne koyun ve sonunda iki sunucuda da Apply Config’e basın.

5. Issabel güvenlik duvarı

Issabel güvenlik duvarı (Security → Firewall) etkinse bu ikisine yalnızca karşı Issabel’ın adresi için izin verin:

  • SIP: UDP 5060 portu
  • RTP (ses): UDP 10000–20000 portları

Test

Her sunucuda Asterisk konsolunu açın:

asterisk -rvvv

Trunk durumuna bakın:

sip show peers

office-b’nin karşısında OK ve milisaniye cinsinden yanıt süresi yazmalıdır. Şimdi 101 numaralı dahiliden 201’i, sonra tersini arayın. İki yönde de iki tarafın birbirini duyduğunu kontrol edin.

Çalışmazsa

  • Trunk UNREACHABLE: Önce Issabel A’nın komut satırından 192.168.20.5’e ping atın. Yanıt yoksa sorun Issabel’da değil, tünelde ya da rotadadır.
  • Çağrı kuruluyor ama ses tek yönlü ya da hiç yok: Karşı ofisin ağını Local Networks’e eklememişsiniz, RTP portları güvenlik duvarında kapalı ya da MikroTik SIP Helper açık kalmış.
  • Çağrı yaklaşık 30 saniye sonra kopuyor: Genellikle ACK paketi hedefe ulaşmıyordur; yukarıdaki üç noktayı kontrol edin.
  • Arama trunk’a gitmiyor: Outbound Route desenini kontrol edin ve daha genel desenli bir rotanın üstte olmadığından emin olun.
  • Tünel running değil: İki taraftaki tunnel-id ve ipsec-secret değerlerini karşılaştırın; yol üzerinde GRE protokolünün ve UDP 500, 4500 portlarının kapalı olmadığından emin olun.
  • Ses kesik kesik: İnternet bant genişliği ya da kalitesi yetersiz; sonraki bölüme bakın.

Bir çağrının ayrıntılarını Asterisk konsolunda görmek için:

sip set debug peer office-b
rtp set debug on

İnceleme bitince sip set debug off ve rtp set debug off ile kapatın.

Bant genişliği ve ses kalitesi

G.711 (alaw) kodekli her görüşme her yönde yaklaşık 80 kbps kullanır; tünel ve şifreleme yüküyle yaklaşık 120 kbps’e ulaşır. Eş zamanlı 10 görüşme için her yönde yaklaşık 1,2 Mbps ayırın.

  • Ofislerin interneti başka işler için de kullanılıyorsa, kullanıcıların indirmeleri sesi bozmasın diye MikroTik’te iki Issabel arasındaki trafiğe öncelik tanımlayın.
  • 150 ms üzerindeki gecikme ve yüksek jitter, bant genişliği yeterli olsa bile görüşme kalitesini düşürür. Hattın kararlılığını iki Issabel arasında uzun süreli ping ile ölçün.

Güvenlik ipuçları

  • Tüneli ipsec-secret olmadan kurmayın; EoIP tek başına şifreleme yapmaz.
  • context=from-internal, karşı ofisten gelen çağrıların dış hatlar dahil yerel dahililerle aynı erişime sahip olduğu anlamına gelir. Bu, aynı kurumun iki ofisi için yaygındır; ama karşı ofisin dış hatlarınızı kullanmasını istemiyorsanız daha kısıtlı bir context oluşturun.
  • Issabel’ın SIP portunu internete açmayın; trunk yalnızca tünel içinden çalışır.
  • Kurulumdan sonra iki router’ın da yedeğini alın.

İki adresli ve iki rotalı şifreli bir EoIP tüneli iki ağı birbirine bağlar; her Issabel’daki bir SIP trunk ve bir Outbound Route ise iki ofisin dahili görüşmelerini kurar. Sıra önemlidir: önce tünel ve ping, sonra trunk. Trunk’ı IAX2 ile kurmayı tercih ederseniz İki Issabel arasında trunk makalesine bakın.

  • Issabel
  • MikroTik
  • EoIP
  • SIP Trunk
  • VoIP
  • IPsec