Pf на FreeBSD - проблема при работе SIP телефонии

Дело в том, что в SIP для передачи всякой-разной мультимедии используются отдельные подключения. В некотором смысле это похоже на FTP, в котором для передачи данных тоже используются отдельные соединения.

Не знаю про pf, но в iptables для этого есть специальные модули для connection tracking'а.

Для начала простой факт:

Most conventional voip protocols (SIP, h323, …) are not programmed with NAT in mind

Это простой ответ на твой вопрос. Более сложный ответ это настройка шлюза.

Может быть можно в таблицу собрать все айпишники и прописать одним правилом?

Ну так пропиши в телефонах (и asterisk) порты для rtp и помечай себе на здоровье траффик по портам.

STUN же есть

Не получится, там нужно помечать пакеты: tag VOIP

Так помечать приходится для каждого ip. Ведь в iptables можно без этого обойтись. Вопрос: что не поддерживает pf в трансляции SIP ?

Если не прописать отдельные правила - не будет даже регистрации.

В iptables точно так же sip не проходит через nat, как правило не слышно голоса в одну сторону. И надо либо пробрасывать порты, либо настраивать STUN на оконечных устройствах.

Ну а как же вот, например, на бюджетных wifi роутерах сделано (dir-320)? там для ip-телефонии ничего прописывать ненадо - само все работает. Я знаю что там стоит линукс. А вот что за ПО там? И можно ли его поставить на фряху?

Ip-телефония сама через nat не работает, нужны некие телодвижения, потому что, в момент инициализации вызова ip-телефон отправляет sip серверу пару IP+порт, на котором он готов принять входящий голосовой поток. В случае, когда ничего не настроено это будет *локальный* ip, путь к которому удаленный сервер не найдет. Твои утверждения про soho роутеры без ссылок я нахожу голословными

ALG там.

ALG можно прикрутить к pf ?

Я не в курсе о pf, но в интернетах пишут:

PF, built-in OpenBSD firewall PF can handle the NAT through the «static-port» directive and the bandwidth control through the built-in queuing system of SIP connections

Ну и вот: http://blog.metajiji.tk/2011/11/asterisk-pf-nat.html

Так помечать приходится для каждого ip.

Нет, зачем? Каждый IP помечают потому что не хотят выяснять, какие порты задействованы.

Если не прописать отдельные правила - не будет даже регистрации.

nat=yes

как правило не слышно голоса в одну сторону.

Не проходит RTP - а это отдельный протокол с другими портами.

Most conventional voip protocols (SIP, h323, …) are not programmed with NAT in mind

Это кто такое бахнул? В SIP заложены возможности выхода за NAT и их несколько.