Имеется:
12.34.56.78 - внешний IP Asterisk (Elastix)
87.65.43.21 - внешний IP маршрутизатора с IPSEC
192.168.5.0/24 - подсеть внутреннего интерфеса Asterisk
192.168.6.0/24 - удаленная подсеть за роутером с IPSEC
192.168.5.5 - внутренный адрес Elastix
192.168.6.4 - адрес Linksys SPA400
IPSEC между непосредственно машиной с Asterisk и маршрутизатором в другом офисе

Регистрирую:
register=spa400@192.168.6.4/spa400

sip show registry показывает "request sent"

Все отовсюду пингуется, на машине с Elastix прописан маршрут до подсети 192.168.5.0/24

Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
12.34.56.78 0.0.0.0 255.255.255.252 U 0 0 0 eth0
192.168.5.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
192.168.6.0 192.168.5.5 255.255.255.0 UG 0 0 0 eth1
0.0.0.0 12.34.56.77 0.0.0.0 UG 0 0 0 eth0


Вот как я прописываю spa400:

[spa400]
[spa400]
port=5060
type=friend
user=spa400
host=192.168.6.4
dtmfmode=rfc2833
canreinvite=no
context=from-trunk
insecure=very
nat=yes
qualify=yes


Почему не проходит регистрация? Такое ощущение, что sip-пакет почему-то не доходит до SPA400. Фаерволлы на время экспериментов полностью отключены.

А SPA400 разве может быть SIP-регистратором?
Любопытно взглянуть на цитату из документации.
Обычно шлюзы регистрируются на *, а не наооборот.

SPA400 должно быть SIP-регистратором. SPA400 не задумывался в использовании с Астериском, а только в паре с одной SPA8000 или несколькими, и РАР2 плюсом.

http://www.voip-info.org/wiki/view/Linksys-Cisco+SPA400

Когда ставлю SPA400 в одной сети с Elastix, все нормально. Как только меняю ip-адреса и ставлю в другом офисе - не работает.
Напрашивается вывод, что требуется нахождение в одной подсети с астериском.

Или можно все-таки в разных подсетях?

Если

Undel:

192.168.5.5 - внутренный адрес Elastix
192.168.6.4 - адрес Linksys SPA400

то на кой хрен

Undel:

на машине с Elastix прописан маршрут до подсети 192.168.5.0/24

?? внутренный адрес 192.168.5.5 и так знает о сети 192.168.5.0/24, это directly connected.
Идите лучше спать, утро вечера мудреннее.

сорри, опечатка. конечно же до сети 192.168.6.0/24 (в таблице маршрутизации выше все правильно приведено).

Я тут о чем подумал: а если разбить на подсети маской? Например 192.168.5.0/25 и 192.168.5.128/25. А потом SPA400 дать адрес например 192.168.5.130? Может, такой вариант лучше прокатит?

Уж не знаю как поднят у вас IPsec, но рутинга такого точно не не нужно. Если сети 192.168.5.0/24 и 192.168.6.0/24 правильно указаны в настройках IPsec, то никаких дополнительных маршрутов не надо указывать.

Вместо того, чтобы смотреть что показывает
sip show registry
сделайте tcpdump host 192.168.6.4

Ничего. ICMP-пакеты ловятся, UDP/SIP - нет.

Не информативно.
Если в sip.conf регистрации прописаны в секции [global]
register => spa400@192.168.6.4/spa400
то Астериск выдаёт запросы на регистрацию, вне зависимосьт - доступен 192.168.6.4 или нет.
Пробуйте слушать на другом интерфейсе
tcpdump -i eth1 host 192.168.6.4

Так, с IPSEC разобрался, пакеты доходят.
Но теперь новая проблема.
При попытке регистрации я получаю сообщение об ошибке:
chan_sip.c: Forbidden - wrong password on authentication for REGISTER for 'spa400' to '192.168.6.4'


UPD. Все решено. Надо было в SPA9000 Interface поставить discover automatically