astersik TLS и srtp

[alexkayzer]

Ребят кто подскажет если кто сталкивался - для установки соединения между телефоном и * нужно использовать сертификат клиента на самом аппарате.
Вопрос - для каждого клиента нужно генерить новый сертификат или можно использовать один на группу? Понятно что последний метод менее безопасный, но сейчас в компании уже около 500 аппаратов и быстро сгенерировать и внедрить сертификаты возможности нет.

[awsswa]

Для товарища с 500 телефонами вы слишком ленивы
Всегда ведь можно попробовать над парочкой телефонов

[virus_net]

а в чем проблема нагенерить сертификаты в цикле ?
вот обновлять их потом, действительно может быть гемор.
нужна поддержка scep

[antaresiv2]

Есть Asterisk 13.19.0 Подскажите плз при перерегистрации (если нажать кнопку сохранить PhonerLite) клиента вылазит ошибка, но все работает. Просто при запуске и регистрации PhonerLite, ошибки нет. Также нет ошибки на Asterisk 11.15.0 с точно такими же настройками.
ERROR chan_sip.c:17764 register_verify: 'UDP' is not a valid transport for '1021'. we only use 'TLS'! ending call.
NOTICE chan_sip.c:28647 handle_request_register: Registration from '"PhonerLite" <sip:1012@192.168.1.1>' failed for '192.168.11.12:5061' - Device not configured to use this transport type
NOTICE chan_sip.c:28418 handle_request_subscribe: Received SIP subscribe for peer without mailbox: 1012

sip.conf
...
tlsenable=yes
tlsbindaddr=0.0.0.0:5061
tlscertfile=/etc/asterisk/keys/asterisk.pem
tlscafile=/etc/asterisk/keys/ca.crt
tlscipher=all
tlsclientmethod=tlsv1
tlsdontverifyserver=yes
....
[1012]
type=friend
host=dynamic
secret=ххх
context=megafone
canreinvite=no
directmedia=nonat
nat=force_rport,comedia
permit=0.0.0.0/0.0.0.0
qualify=yes
transport=tls
encryption=yes

[ded]

На стороне Астериска у абонента -
transport=tls
а у абонента PhonerLite разрешены оба транспорта, tls & udp. Поэтому сообщается -
ERROR chan_sip.c:17764 register_verify: 'UDP' is not a valid transport for '1021'. we only use 'TLS'! ending call.

Что не так? Как убрать птичку в PhonerLite7

[antaresiv2]

Спасибо разобрался. В Phonerlite есть птичка "Фиксированный тип содинения" Это как раз то что вы говорите.

[olegtsss]

Всем доброго времени. Подскажите, несколько дней бьюсь над sip-tls.
Не могу подключиться к своей АТС. Вот мои настройки sip.conf

[general]
bindport=5100
bindaddr=0.0.0.0
context=demo
accept_outofcall_message=yes
outofcall_message_context=messages
auth_message_requests=no
tos_sip=ef
tos_audio=ef
allowguest=no
alwaysauthreject=yes

tlsenable=yes
tlsbindaddr=0.0.0.0:5101
tlscertfile=/etc/asterisk/keys/asterisk.pem
tlscafile=/etc/asterisk/keys/ca.crt
tlscipher=ALL
tlsclientmethod=tlsv1
tlsdontverifyserver=yes

[1001]
type=friend
context=guest
secret=123
host=dynamic
disallow=all
allow=alaw
transport=tls
canreinvite=no
nat=force_rport,comedia
call-limit=1
encryption=yes

В качестве телефона использую PhonerLite. В нем указываю "Предпочтительный протокол" TLS.
Подключение не проходит.

[ded]

Несколько месяцев бьюсь с ракетой, не взлетает!
Вот чертежи...

Включайте дебаг и анализируйте.

[olegtsss]

Астериск поднят на VDS. В дампе виден icmp отказ, приходящий от него.

[olegtsss]

Дебаг ничего не показывает. Даже не знаю куд копать.