SMG 1016M + PBX = access denied

[screepka]

есть SMG 1016M (3.10)- 2 шт, есть лицензии PBX для каждой и инструкция http://kcs.eltex.nsk.ru/articles/181/pdf.
оба устройства работают в "публичном интернете" имеют местные/зоновые стыки по Е1 и SIP.
на каждом устройстве создано по абоненту (абсолютно идентичные настройки). на первом устройстве абонент (за натом) совершает и принимает вызовы, а на втором только совершает. при вызове абонента: вызов отбивается с "access denied" в CDR-e поля "num_Х_outbound" остаются незаполненными.
такое ощущение, что я упускаю что-то простое и очевидное, но никак не могу найти что именно. посоветуйте в какую сторону копать и какие именно трейсы смотреть

[bravo]

pbx trace надо посмотреть. запустите со всеми "1" в параметрах и сделайте вызов. потом остановите. ну и прилепляйте.

[screepka]

"вот оно чудо враждебной техники" (с)

[bravo]

[quote] 12:45:39.279835 [INFO] Port SIPT:0043. Search route. Mode: 'called'. Num: <78712999999.>(12).# Complete
12:45:39.279928 [INFO] Port SIPT:0043. Search route. Result: found route to sip-user-ID[1]. res (11)
12:45:39.279995 [INFO] Port SIPT:0043. Process route to sip-user-ID [01].
12:45:39.280061 [INFO] Port SIPT:0043. Link to SIPuser ID[1]. Index [0].
12:45:39.280121 [INFO] Port SIPT:0043. Check Access Category. 17 => 17. N. Mask: (0x00.0x00.0x00.0x00.0x00.0x00.0x06.0xFC)
12:45:39.280186 [INFO] Port SIPT:0043. SIPuser 00. Access category: access denied
[/quote

отсюда и call reject в релизе. Видимо не одинаковые настройки...

[screepka]

то есть как я и предполагал - дело банально в категориях доступа.
напрашивается вопрос: а как можно категориями ограничить доступ к сип-юзеру, если все входящие интерфейсы ведут в один и тот же план?
префикс для сипюзера "подразумевается", категория для исходящий вызовов указывается явно и понятно где. а вот как быть с категорией для входящих - что-то не нахожу.

[bravo]

вы про категорию, а так же про, что хотите получить, ничего не написали. написали только то, что не работает связи у оного абонента.


пишите что нужно получить.

[screepka]

есть :
план 0 - для сорма
план 1 - для основной (сюда ведут все "входящие каналы" + тут основной план маршрутизации)
план 2 - местный - здесь в зависимости от Cg и Cd вызов направляется в нужный стык

так как префиксы для клиентов с нашей нумерацией находятся в "плане 1", то для сип-абонента сделал так - см картинку.
предполагал, что после регистрации абонента вызовы будут автоматом приходить абоненту, но как видим получаем "доступ запрещен". конечно же, я хочу чтобы вызовы приходили, а не запрещать их. я догадываюсь, что для запрета можно было бы сделать отдельный план куда поместить абонентов шлюза и сделать префикс с проверкой категории и сменой плана, но это мне пока не надо.

категории сейчас сделаны достаточно просто и очевидно: экстренные, местная, def, мг, мн, собственная нумерация, фрод и прочие, ну и в разных комбинациях эти кванты сгруппированы по конкретным привилегиям выданным клиентам. ничего сверхестественного.
хочу понять как дозвонится до абонента шлюза и что этому мешает.

[bravo]

что вам нужно то реализовать? понятно, что связь должна работать.
верните категории на место и запустите вязь (уверен, всё получится). а потом уже с категориями упражняйтесь. сейчас у вас 17 категория доступа не имеет доступа куда то там, куда вы звонили...

[screepka]

поиграл с категориями ... параметр "Категория доступа" в свойствах абонента это одновременно и право абонента на исходящие вызовы и необходимая категория для входящего вызова? а если это должны быть разные категории то менять через модификаторы в пбх-профиле? а если для разных абонентов надо иметь разные категории для вызовов то делать несколько сип-профилей и несколько пбх-профилей? я правильно понимаю порядок конфигурирования?

[bravo]

Опять, чего вы хотите сделать? Когда заучит сложно, то скорее всего вы что то не так придумали

[screepka]

да чего же сложного? по-моему проще только "на пальцах".
есть смг, есть присоединение к местной сети и зоне, есть лицензия pbx, сделан аккаунт на смг, ему для звонков дана категория "ххх".
и опыт показывает что

*** для того чтобы иметь возможность ПОЗВОНИТЬ НА НОМЕР этого аккаунта НАДО ТОЖЕ ИМЕТЬ КАТЕГОРИЮ "ХХХ" ***

что тут может быть не ясного? эта "фича" нелогична и неудобна ... это как минимум

зы. но за наводку на причину - спасибо большое

[bravo]

Да вы так и не говорите полную схему.

Ну и в принципе да, чего не удобного. Вы запретили доступ одной сущности к другой. Вы просто смотрите со стороны абонента. Но задачи у всех разные есть. В случае когда абонент денег не оплатил, это будет работать в плюс (в прочем это устаревший кейс).

Не могу сейчас подсказать, как лучше сделать (в движение нахожусь). Конечно удобнее было бы использовать маршрутизацию по категориям абонента, но кажется в smg её нет. Но лучше проверьте, а то я могу ошибаться. Вам придётся, наверное, иметь дело с дополнительными планами маршрутизации, в которые будут попадать абоненты с другой категорией доступа по такому же префиксу, что и выход город по обычной категории доступа. Абонент уйдёт в другой план и там уже префиксы на те направления, куда ему можно.

А так как я так и не понял, что конкретно вы там ограничиваете, то дальше самостоятельно придумывайте, что делать.

Я бы советовал использовать поменьше сущности (минимизировать), что бы было проще жить.

Ps: написал я не совсем точно... позже попробую перефразировать

[bravo]

Так, всё как то выглядит совсем просто. У вас в списке категорий, можно у каждой настроить доступ, куда она имеет доступ. Так что просто той категории, которая у вас до 17 не может достучаться, дайте доступ к 17... и всё. В самой 17 может и не быть доступа туда, куда ей не надо.


PS: мне простительно, у меня пол морды не работает и в ухе звенит =)

[Dmitriy_eltex]

да чего же сложного? по-моему проще только "на пальцах".
есть смг, есть присоединение к местной сети и зоне, есть лицензия pbx, сделан аккаунт на смг, ему для звонков дана категория "ххх".
и опыт показывает что

*** для того чтобы иметь возможность ПОЗВОНИТЬ НА НОМЕР этого аккаунта НАДО ТОЖЕ ИМЕТЬ КАТЕГОРИЮ "ХХХ" ***

что тут может быть не ясного? эта "фича" нелогична и неудобна ... это как минимум

зы. но за наводку на причину - спасибо большое

Здравствуйте.

Нелогична и неудобна фича тем, кто не умеет ей пользоваться.

В Вашем случае, да, проблема в том, что категория доступа у SIP абонента проверяется и при входящем вызове.
По сути SIP абонент это тоже префикс в плане нумерации(ПН), на который нужно разрешать/запрещать доступ.
Как и сказал коллега bravo, разрешите доступ к 17 категории из категории транка, с которого приходит вызов - и все, проблема решена.

Никаких дополнительных ПН, модификаторов создавать не нужно. Вашу задачу можно решить только категориями доступа.
Для дальновидного понимания категорий доступа, доношу несколько практических вещей, которые Вам пригодятся:
1) Статья по настройке:
http://kcs.eltex.nsk.ru/articles/62
2) По умолчанию у всех транков и абонентов выставляется категория доступа 0. Поэтому не рекомендуется давать этой категории доступа ограничения, лучше наоборот "разрешить все". В остальных категориях 1, 2, 3 ... уже настраивать необходимые ограничения.
Т.е. придерживаться принципу "по умолчанию все разрешено, а выборочно запрещено", тогда ситуация, которая возникла у Вас, в принципе, маловероятна.
3) Двойственность вхождения категорий друг в друга.
Например, то что категории 17 разрешен доступ в категорию 8, еще не означает обратное, доступ 8->17.
Т.е. для двунаправленного вхождения категорий, нужно установить 2 галки: в 17 напротив 8, в 8 напротив 17.

[screepka]

Нелогична и неудобна фича тем, кто не умеет ей пользоваться.

особой выгоды именно от такой реализации не вижу. и было бы особо прекрасно, если бы эта фича была вынесена в документации или какой-то инструкции в виде "предупреждения" (возможно это сэкономило бы кому-то несколько часов/дней)

допустим:
у меня местный стык, ему дана категория "только мне" - это "минимум" доступа, можно вызывать только номера выданные мне ФАСом. сип-абонент, естественно, входит в этот перечень, но предоставлять ему такую категорию я не могу, иначе он будет ограничен в доступе.
Вы все прекрасно описали про "доступ 8->17", вложенность категорий и это прекрасно работает до тех пор пока не встречается сип-абонент для которого куда бы не была направлена стрелка везде одна категория. хорошо когда права широкие или расширяются, а если нет?
собственно песня не о том, фича так фича. просто придется хорошенько помечтать как красиво разрулить исходящие категории. пока видится несколько пбх-профилей с модификаторами категорий по "уровням" исходящего доступа и категория "своя нумерация" для сип-абонентов.