Астериск внутри локальной сети, клиенты снаружи

Да, при наличии реального IP и приличного роутера, который нормально пробросит порты внутрь

sip.conf: забыли все рассказать про nat=yes и externip=xxx.xxx.xxx.xxx в настройках пира.. не забыть еще правильно указать localnet=, ну и для пиров, которые НЕ ДОЛЖНЫ быть доступны указать deny=0.0.0.0/0.0.0.0

Самый правильный вариант ИМХО - ВПН, и безопасно, и не надо с натом замачиваться. Но раз не катит, самый простой способ

1-пробросить порты для сипа с роутера на астер, как правильно заметил DJs3000 порт сделать не стандартный(например 666), и порты rtp обычно 10000-20000 (думаю можно и такие оставить).

2-зарегестрировать DDNS имя на одном из сайтов, предлагающих такой сервис. Настроить маршрутизатор на работу с выбранным DDNS(например dydndns.org).

3-как совершенно верно заметил Zavr2008 внести соответствующие изменения в sip.conf. Только в случае с DDNS именем нужно использовать не "externip", а "externhost".

nat=yes localnet=192.168.xx.xx externhost=XXX.dyndns.org

Белый адрес не нужен, с динамическим IP вероятность попыток взлома будет меньше, а клиенты будут цепляться по FQDN т.е. XXX.dyndns.org:666.

Существует, однако, небольшая вероятность, что при неудачном стечении обстоятельств пользователь попытается подключиться как раз после смены IP провайдером и на DNS сервере не успеет обновиться запись, тогда клиенту будет возвращен прошлый (уже не верный) адрес, и он не сможет подключиться до тех пор пока не запись на DNS не обновиться до актуального состояния. Но как правило этот "баг" действует до 5-ти минут.

Можно конечно и так, но я бы засунул в ВПН.... может я канеш параноик, но как говорится не фик кому ни поподя видеть торчащий наружу СИП-сервер, особенно памятуя "кубинскую" дырку в триксбоксе.