NAT et Firewall — Résolution des problèmes SIP

Le NAT (Network Address Translation) est la cause principale des problèmes SIP en environnement bureau/entreprise. Voici comment les diagnostiquer et les résoudre.

Symptômes d'un problème NAT

• Les appels sonnent mais l'audio est absent (one-way audio ou no audio)
• L'enregistrement SIP réussit mais les appels entrants ne fonctionnent pas
• L'audio fonctionne localement mais pas depuis l'extérieur
• Les appels se coupent après 30 secondes (problème de re-INVITE)

Ports à ouvrir dans votre firewall

Solution 1 — rport (RFC 3581)

Le paramètre rport force le serveur SIP à répondre sur le port depuis lequel la requête a été envoyée (plutôt que le port annoncé dans le header Via). Activez-le dans votre PBX/ATA :

Via: SIP/2.0/UDP 192.168.1.10:5060;rport

Sur Asterisk : nat=yes dans sip.conf
Sur 3CX : activé par défaut via le détecteur NAT automatique.

Solution 2 — STUN

Le protocole STUN (RFC 5389) permet à votre équipement de découvrir son IP publique :

stun_server = stun.l.google.com:19302

Limitez : STUN ne fonctionne pas avec le NAT symétrique (souvent utilisé dans les entreprises).

Solution 3 — TURN (NAT symétrique)

TURN relaie tout le trafic RTP via un serveur intermédiaire. Solution universelle mais avec overhead :

turn_server = turn.webtic.online:3478
turn_username = <votre_login>
turn_password = <votre_mot_de_passe>

Configuration recommandée (Asterisk)

[general]
externip = VOTRE_IP_PUBLIQUE
localnet = 192.168.0.0/255.255.0.0
nat = yes
qualify = yes

Test de connectivité SIP

# Test basique
nmap -sU -p 5060 sip.webtic.online

# Test enregistrement SIP
sipsak -s sip:sip.webtic.online -v

Support : Si le problème persiste après ces configurations, contactez notre support avec un pcap réseau (tcpdump -i eth0 -w sip_capture.pcap port 5060).