Zone Based Firewall и звонки SIP

Zone Based Firewall - это фаервол, разработанный для Cisco ISR.

К сожалению ZBF далеко не лучшее изобретение цыски.
Неинтуитивен, невозможность перемещения правил. Ну и конечно глюки.

Один из его глюков - его неумение нормально инспектить SIP.

Чаще всего в логах имеем сообщение:
%AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Transaction) - dropping udp session _ip_:5060 _ip_:5060 on zone-pair _name_

Победить это можно несколькими способами.
Первое, что надо сделать - обновить прошивку, далее:

1. Внедряем в фаервол конструкцию, и вешаем её на всех парах зон:
   

   
   class-map type inspect sip match-any cm_sip_allow-violations
    match protocol-violation
   
   class-map type inspect match-any cm_voice_control_traffic
    match protocol sip
   
   policy-map type inspect sip pm_sip_allow-violations
    class type inspect sip cm_sip_allow-violations
     allow
     log
   
   policy-map type inspect pm_inside-outside
    class type inspect cm_voice_control_traffic
     inspect 
     service-policy sip pm_sip_allow-violations
    class type inspect cm_tunnel_inside_inspect_all
     inspect
    class class-default
     drop log

2. Если предыдущий сценарий не помог, вероятно телефоны используют не только порты 5060.
   Можно расширить cm_voice_control_traffic до всего udp:

   
   class-map type inspect sip match-any cm_sip_allow-violations
    match protocol-violation
   
   class-map type inspect match-any cm_voice_control_traffic
    match protocol udp
   
   policy-map type inspect sip pm_sip_allow-violations
    class type inspect sip cm_sip_allow-violations
     allow
     log
   
   policy-map type inspect pm_inside-outside
    class type inspect cm_voice_control_traffic
     inspect 
     service-policy sip pm_sip_allow-violations
    class type inspect cm_tunnel_inside_inspect_all
     inspect
    class class-default
     drop log

3. Отказываемся от инспектирования SIP. Как следствие, pass необходимо в обоих направлениях
   

   class-map type inspect match-any cm_voice_control_traffic
    match protocol sip
    match protocol sip-tls
   
   policy-map type inspect pm_inside-outside
    class type inspect cm_voice_control_traffic
     pass
    class type inspect cm_users_internet_access
     inspect
    class class-default
     drop log
   
   policy-map type inspect pm_outside-inside
    class type inspect cm_voice_control_traffic
     pass
    class class-default
     drop

4. Наконец можно попробовать отказ от инспектирования трафика SIP + RTP.
   Тут нужно понимать диапазон портов, которые могут быть использованы для SIP и RTP.
   В нашем случае это: UDP 5060-5072 и 10000-20000

   ip port-map user-asterisk1 port udp from 5062 to 5072
   ip port-map user-asterisk2 port udp from 10000 to 20000
   
   class-map type inspect match-any cm_asterisk_protocols
    match protocol sip
    match protocol sip-tls
    match protocol user-asterisk1
    match protocol user-asterisk2
   
   class-map type inspect match-all cm_asterisk_services
    match class-map cm_asterisk_protocols
   
   policy-map type inspect pm_inside-outside
    class type inspect cm_temp_pass_all
     pass
    class type inspect cm_vpn_protocols
     pass
    class type inspect cm_asterisk_services
     pass
    class type inspect cm_users_internet_access
     inspect
    class class-default
     drop log
   
   policy-map type inspect pm_outside-inside
    class type inspect cm_asterisk_services
     pass
    class class-default
     drop