TDE 200 + cisco asa5505 + 2 провайдера sip

[Alasm]

Всем привет!
Состав оборудования:
1. Cisco ASA 5505 с белым ип (есть еще 3 белых адреса)
2. АТС ТДЕ200 в локальной сети
3 внутренних сип-абонента (порт изменен на 35060, абонентов будет больше)
v-sipgw16: 8 сип-транков (4лиц были с дсп + 4 докупили) до 2х провайдеров.
порт в настройках вирт. шлюза - 5060, rtp 16000, все нужные транки в состоянии INS.
3. Провайдеры:
а) Использует только тсп/5060 - прокинул порт наружу (статик + РАТ один-в-один)- работает исх и вх. связь. (1 номер, 2 линии)
б) У второго все сложнее:
IP-адреса: ххх.ххх.32.66, ххх.ххх.32.67, ххх.ххх.32.68 - сказали это кластер (из чего правда не сказали).
Порты UDP для сигнализации: 5060, 5063 (5060 с 32.68, 5063 с 32.67 - смотрел в логах циски)
Порты UDP для RTP: 10000-49999

Собственно со вторым и проблема - как попало работает входящая связь - то тишина в трубке, то все ок - и тебя и меня слышно.
Проблема наблюдается в рабочие часы - думаю именно из-за "кластера", точнее его настройки.
Вот кусок лога, когда соединения не было:
6 May 21 2013 20:20:16 607001 PBX Pre-allocate SIP RTP secondary channel for outside:ххх.ххх.32.67/49776 to inside:PBX from INVITE message
6 May 21 2013 20:20:16 607001 PBX Pre-allocate SIP Via UDP secondary channel for outside:ххх.ххх.32.67/5063 to inside:PBX from INVITE message
6 May 21 2013 20:20:16 607001 PBX Pre-allocate SIP SIGNALLING UDP secondary channel for outside:ххх.ххх.32.67/5063 to inside:PBX from INVITE message

Как бы победить ситуацию?

[fixer121]

Обход нат в настройках включен или нет? Лучше отключить, если циска этим вопросом управляет.

Проблема возникает, когда одновременно 2 юзера пытаются пробиться по rtp.
В этом случае порт второго соединения источника (АТС, rtp) не сохраняется, а заменяется на случайный (проверить можно sh ip nat tr udp).
А в sdp блоке invite пакета этот порт, похоже не исправляется циской, в итоге снаружи внутрть rtp не проходит и тишина.

Для уменьшения эффекта можно поставить время жизни rtp трансляций небольшим (секунд 5).
Но полностью устранить не удастся, пока клиант ходит через нат.

Можно еще попробовать переназначить на АТС не отдельные порты, а весь внешний адрес (если их несколько).
В этом случае транслируемые номера портов будут сохраняться.

Долго бился с этим вопросом, в итоге интернет юзерам - внутренним абонентам
поставил VPN соединение во внутреннюю сеть, чтобы не мучаться с нат.