непонятный channels - ломают или нет?

[D9thc]

Появилось вот такое после регистрации одного из пиров:
[2014-10-28 10:53:20] NOTICE[2310]: chan_sip.c:23475 handle_response_peerpoke: Peer '303' is now Reachable. (90ms / 2000ms)
*CLI> sip show channels

PRIME_BBCODE_SPOILER_SHOW PRIME_BBCODE_SPOILER:

Peer User/ANR Call ID Format Hold Last Message Expiry Peer
10.98.10.10 (None) 1573864055@192. (nothing) No Rx: REGISTER <guest>
1 active SIP dialog

*CLI> sip show channel 1573864055

PRIME_BBCODE_SPOILER_SHOW PRIME_BBCODE_SPOILER:

* SIP Call
Curr. trans. direction: Incoming
Call-ID: 1573864055@192.168.1.190
Owner channel ID: <none>
Our Codec Capability: (alaw)
Non-Codec Capability (DTMF): 1
Their Codec Capability: (nothing)
Joint Codec Capability: (nothing)
Format: (nothing)
T.38 support No
Video support No
MaxCallBR: 0 kbps
Theoretical Address: 10.98.10.10:5062
Received Address: 10.98.10.10:5062
SIP Transfer mode: open
Force rport: Auto (Yes)
Audio IP: 10.98.0.240 (local)
Our Tag: as104aff4c
Their Tag: 1897159918
SIP User agent: Yealink SIP-T20P 9.71.14.5
Need Destroy: No
Last Message: Rx: REGISTER
Promiscuous Redir: No
Route: N/A
DTMF Mode: auto
SIP Options: (none)
Session-Timer: Inactive

* - 10.98.0.240
peer [303] - 10.98.10.10 (это VPN до удаленного подразделения)
192.168.1.190 - это локальный ip телефона yealink sip-T20 9.71.14.5 - его прошивка
период регистрации стоит 3600
на * - fail2ban - бан на 72 часа после 4-ой попытки, ну и на всякий случай с * нет пока выхода на 8XXXXXXXXXX
Что это - попытки взлома или глюки аппарата?
Попытки левых регистраций вижу постоянно, левых звонков - не было.

[ded]

10.98.10.10 (None) 1573864055@192. (nothing) No Rx: REGISTER <guest> - это занятно, конечно, может быть и глюк, а может и нет. UDP позволяет отправлять фейковые source addresses, но чтобы обгрызанные - 192. (nothing) - не знаю.
Мог быть и затык в сети, результат этого Peer '303' is now Reachable. (90ms / 2000ms), а мог и SIP пакет в момент покрошиться, что получилось 1573864055@192. (nothing)

[D9thc]

Затыка в сети возможно и был - в результате телефон просто подзавис и писал "ошибка регистрации".
После ребута телефона появляется Peer '303' is now Reachable. (90ms / 2000ms) и этот непонятный sip channel/
Продолжение - сегодня сутра:
1. на телефоне висяк - Статус - "ошибка регистрации"
*CLI> sip show peers

PRIME_BBCODE_SPOILER_SHOW PRIME_BBCODE_SPOILER:

Name/username Host Dyn Forcerport ACL Port Status Description
303/303 (Unspecified) D N 0 UNKNOWN

2. на станции:
*CLI> sip show channels

PRIME_BBCODE_SPOILER_SHOW PRIME_BBCODE_SPOILER:

Peer User/ANR Call ID Format Hold Last Message Expiry Peer
10.180.83.36 (None) 1286628063@192. (nothing) No Rx: REGISTER <guest>
1 active SIP dialog

*CLI> sip show channel 1286628063

PRIME_BBCODE_SPOILER_SHOW PRIME_BBCODE_SPOILER:

* SIP Call
Curr. trans. direction: Incoming
Call-ID: 1286628063@192.168.1.190
Owner channel ID: <none>
Our Codec Capability: (alaw)
Non-Codec Capability (DTMF): 1
Their Codec Capability: (nothing)
Joint Codec Capability: (nothing)
Format: (nothing)
T.38 support No
Video support No
MaxCallBR: 0 kbps
Theoretical Address: 10.180.83.36:5062
Received Address: 10.180.83.36:5062
SIP Transfer mode: open
Force rport: Auto (Yes)
Audio IP: 10.98.0.240 (local)
Our Tag: as4160f805
Their Tag: 841144565
SIP User agent: Yealink SIP-T20P 9.71.14.5
Need Destroy: No
Last Message: Rx: REGISTER
Promiscuous Redir: No
Route: N/A
DTMF Mode: auto
SIP Options: (none)
Session-Timer: Inactive

откуда прилетел:
Theoretical Address: 10.180.83.36:5062
Received Address: 10.180.83.36:5062
непонятно....
локалка где живет * - 10.98.0.0/24
VPN - 10.98.10.0/24
удаленная сетка где живет peer [303] - 192.168.1.0/24
для эксперимента - увеличил период регистрации и уменьшил кол-во запросов в настройках телефона.
Вроде помогло.

[ded]

Received Address: 10.180.83.36:5062 - видимо такой хост у вас то же существует, промерить -
mtr 10.180.83.36 добежит?

[D9thc]

нет, не добегает.
сетка за роутром а на нем таких маршрутов нету.
Хотя схема такая...
* - cisco1941 - inet - zyxel keenetic lite II - yealinkSIP-T20
Так вот с zyxel'я 10.180.83.36 пингуется - скорее всего это из локалки тамошнего провайдера.
Вобщем запретил пока sip на всех интерфейсах кроме PPTP в сторону *
посмотрю на результат