Звонки идут в обе стороны, голос не идет

[dmitriy.tarasov]

1) сначала простая схема: Астериск -- ИП телефон (-ы), без VPN. Работает? Тогда
2) Астериск -- роутер (VPN) --- ИП телефон (-ы), работает?
и так далее.
Согласно Вашей схемы -

Digium D40 <-> Firewall <-> VPN <-> FRW <-> Switch <-> Asterisk SRV
скорее всего проблема в Firewall.

протестируйте с Астериска
mtr IP_addr_Digium D40
Нормально пробегает маршрут?

Странно, но почему-то вместо локального адреса филиала (подключение то посредством VPN) в выводе mtr идет внешний (не Интернет адрес, а использующийся для подключения по выделенному каналу к центральному офису) адрес фаервола (находящегося в филиале), а уже потом адрес телефона, находящегося в филиале. Хотя в правилах прописано куда и как напрявлять пакеты. Как ответил мне ZyXEL - из-за шифрования в VPN трейс может показывать неправильные результаты (хотя это очень странно).

[dmitriy.tarasov]

стоит записать tcpdump это безобразие на центральном серваке и в удаленных офисах на компах (с софтфона например звоня) , далее загрузить в wireshark и смотреть какой-же из фаерволов тупит/не туда отправляет/всё-таки nat-ит итп). Также попутно там запустить RTP Analyzer - посмотреть реальную глубину Jitter и откорректировать соотвествующе в sip.conf астера..

Гадайте и дальше на кофейной гуще.
Поколение FreePBX...

tcpdump записывал на самом Asterisk - пакеты RTP передаются, SIP диалог нормально происходит.
Помимо этого:
asterisk -grnTv | tee test_asterisk
CLI> core set verbose 4
CLI> sip set debug on
CLI> rtp set debug on
Здесь пакеты тоже идут

[ded]

Странно, но почему-то вместо локального адреса филиала (подключение то посредством VPN) в выводе mtr идет внешний (не Интернет адрес, а использующийся для подключения по выделенному каналу к центральному офису) адрес фаервола (находящегося в филиале), а уже потом адрес телефона, находящегося в филиале. Хотя в правилах прописано куда и как напрявлять пакеты. Как ответил мне ZyXEL - из-за шифрования в VPN трейс может показывать неправильные результаты (хотя это очень странно).

Ну, с уровнем знаний техподдержки ZyXEL всё ясно.
Тут конечно транспортные проблемы. Классическая схема VPN

Код: Выделить всё

left network -- left side IP -- WAN --- right side IP -- right network
192.168.1.0/24 -- 100.1.2.3 -- WAN -- 200.3.2.1 --- 10.0.0.0/24

у вас в left network где-то DIGIUM IP phone, допустим на 192.168.1.15.
Астериск - на 10.0.0.30
маршрут
mtr 192.168.1.15
будет выглядеть как
1) 10.0.0.1
2) 192.168.1.1
3) 192.168.1.15

В опсчем - не хочу делать публичную лекцию по VPN.

[dmitriy.tarasov]

А ларчик просто открывался.
Короче. собрал стенд и позвонил - звонки сразу пошли (конфигурации серверов и фаерволов специально набирал не вручную, а восстанавливал из копий). Стал думать - в чем дело. Увидел, что нет лицензий на некоторый фичи, зарегистрировал, звонки перестали ходить. Оказалось, что все дело в Application Patrol. Теперь жду, чтобы ZyXEL пояснил ситуацию.
Дай Бог, отпишусь по результатам.