Все правильно. Сегодня небольшой прогресс. Что-то получилось с НАТ'ом. Я понял что через 2й IP без доп. мучений ничего не получится, нужно поработать на сервере с FORWARDами быстрей всего (хотя ВПН и без них отлично работает :) ).

Что-то получилось через динамический IP (я понял с динамическим вообще каши не сваришь с Астериском). Прописал у одного юзера:
localnet=192.168.0.0/255.255.0.0
canreinvite=no
externip=92.112.147.51 (динамический)

Что имеем:
X-Lite подключается, но глухо как в танке.
Zoipher подключился. Голос проверить не могу (нет микрофона дома), но уже стало слышно "Тамару" :)) Уже говорит, что абонент отключен. Я могу зайти в конференцию, играет музыка. Но: не играет музыка, что установлена на звонках. При звонке на эти номера тишина, нет даже гудков. И не работает HOLD. При удержании вызов сам сбрасывается через пару секунд.

В логах чисто.

два NAT-а "навстречу" друг другу это худший возможный случай.

1. у вас за "кучей других роутеров" - там удаленный офисы или что? Нет возможности сделать нормальный VPN (на ipsec непример) между ними и "центральным" офисом? И по VPN разрешить уже весь трафик?

Тогда SIP клиенты бы не имели никаких проблем с коннектами.

2. Вроде как вы упоминали что астериск крутится какраз на машине-роутере. То есть это какраз та самая машина которая делает трансляцию адресов. Так? Если да, то астериск надо повесить на внешний IP этой машины и останется только один NAT (клиентский) который решается тривиальным образом - nat=yes в настройках пира/юзера.

Схема у меня просто жесть!!! Я удивлен что вообще что-то завелось.

http://img8.imageshack.us/my.php?image=jestzd9.jpg

На роутере 1 прокинуты в инет порты: 80, 21, 1723, 5060 UDP, 10000-20000 UDP, 4569 UDP
На роутере 2 прокинуты порты: 1723, 5060 UDP, 10000-20000 UDP, 4569 UDP

Вы можете поднять между vpn/asterisk сервером и Роутер 3 ipsec туннель. Это даст прямой доступ из сети 172.25.254.0/24 в 192.168.15.0 и решит проблему с SIP клиентами из правого облака раз и навсегда. Ходить по VPN сможет любой трафик - виндовые шары, что хотите.

Это если роутер 3 умеет ipsec.

У меня из вашей картинки еще складывается нехорошее предчувствие что клиенты из левого LAN по пути в интернет проходят ДВА NAT - asterisk/vpn и Роутер 1 (или 2). То есть по пути в правое облако - натов вообще три???

Я вообще попытался бы схему упростить сначала - уж больно нетривиально все. На сегментах между vpn/asterisk и роутерами вообще что-то есть или они вырожденные?

Года два назад наткнулся на такой девайс у китайцев
https://telecomc.ipower.com/osCommerce/catalog/product_info.php?products_id=99&osCsid=6a096589933240a245f7c06ea6e3317c
Недавно увидел здесь http://shop.nag.ru/core.asp?main=catalog&act=page&id=3376&cat=86
Может оно?

цена в 60 баксов - просто жесть. с коммутатором!

а в китае стоит 40 баксов!!!

switch, а вы его тестили или просто ценой восторгаетесь?

неа, не тестил. а хотелось бы. для всяких там заправок неплохо было бы...
цена копеешная, вот что нравится. как говорится, за такую цену и выбросить не жалко ;)

Читаю внизу на сайте магазина нага:
FAQ: телефон прошел проверку в российских условиях. Месяц тестовой эксплуатации доказали высокую надежность и потребительские качества аппарата.
Любые вопросы , касающиеся работы этого телефонного аппарата вы можете задать менеджерам нашего магазина.
Кто проверит?

если тема еще актуальна (я про название топика) то почему так много слов сказано о "драфтах RFC к IAX" но никто не упомянул адаптеры от самого digium? ;) прошивка к этому девайсу самая свежая всегда есть прям в исходниках астериска всегда (пока еще).
Digium IAXy
ну и вот еще кучка, в том числе и телефоны:
http://www.voip-info.org/wiki/view/Asterisk+IAX+clients
я удивлен что ктото еще не знает про этот ресурс..