H323 Phone Deregistration - CLAN- (Troubleshooting)

[Adolfox]

The following is an example of using Prognosis in conjunction with CM logs to identify the root cause of multiple phone deregistration events (H323) in complex environments.

Details

Infrastructure: Prognosis 11.5, CM 6.3, CLANs and IP Phones (H323)

Tools: Prognosis Alerts, Prognosis Displays and CM logs (Denial Events)

Problem:

IP phone (H323) got deregister randomly, not happen to all IP phone at the same time

Cause:

Network Issue, H323 inspection in FW.

Troubleshooting Flow:

1. Alert received in Prognosis “Alert Central”, 8 phones got desregisterd from a CLAN  -01A03-.
2. Alert received based on SNMP TRAPs.
3. We found errors in the CLAN -01A03-, using the "Avaya CLAN Board Details" display.
4. After getting this information, we collect logs (IPEVT) directly on the CM, we catch some particular errors for the CLAN -01A03-.

root@cpdcm1 log]# grep -E "<CLAN IP>" messages

Apr 15 10:55:01 cm1 logmanager:  IPEVT   IPT_UNREG board=01A03 ip=<CLAN IP> net_reg= 108 ext= <Phone Ext> ip= <Phone IP>;49303 net_reg= 110 reason=2204

In the Avaya documentation, we found the description for the denial event number 2204

“Avaya Aura™ Communication Manager Denial Events”

https://downloads.avaya.com/css/P8/documents/100059379

Reason=2204

IPFURQ-reg expired-nosock

Force unregister the link bounce phone if its link loss delay timer expired and it is not on the call

Problem description.

Using TTS with a firewall that has H.323 inspections (also known as Deep Packet Inspections) enabled, can cause IP phones to fail to register and remain in a connecting state. This happens on IP phones where “any-auth” is the security mechanism configured on the “ip-network-region” SAT form for the network region where the phone resides. The first time an IP phone registers it is successful. The Problem occurs on subsequent registrations (reregistering) after the initial registration.  

The problem is caused by an interoperability issue between the TTS feature and the H.323 inspect feature used in some firewalls. The TTS feature allows IP phones to reconnect to CM without using the complete setup process. Instead, the IP phone reuses the socket originally used to register the phone. This significantly speeds up the mass registration of large numbers of IP endpoints. This causes an interoperability issue with some firewalls where H.323 inspections are enabled.

Resolution

Disable H.323 inspections on the firewall when using the TTS feature. The TTS feature is enabled by default. Having the H.323 inspection disabled on the firewall is not a security concern in configurations where the static port mapping is being used (ACL’s). 

I hope it works, and you can use it as a baseline for your next TS sessions.

[Javier]

Desregistro de teléfonos H323 - CLAN (Diagnostico)

El siguiente es un ejemplo del uso de Prognosis en conjunto con los logs de CM para identificar la causa raíz de eventos de desregistro múltiple (H323) en ambientes complejos.

Detalles:

Infraestructura: Prognosis 11.5, CM 6.3, CLANs y teléfonos IP (H323)

Herramientas: Alertas y Displays de Prognosis y logs del CM (Eventos de denegación)

Problema:

Teléfono IP (H323) desregistrado aleatoriamente, no se presenta en todos los teléfonos al mismo tiempo.

Causa:

Problema de red, Inspección de H323 en el Firewall

Flujo de diagnóstico

1. Alerta recibida en el portal "Alert Central" de Prognosis, 8 teléfonos de registrados de una CLAN -01A03-.

 2. Alerta recibida basada en TRAPS de SNMP

 3. Encontramos errores en la CLAN -01A03-, usando el display "Avaya CLAN Boards Details".

4. Después de obtener esta información, colectamos logs (IPEVT) directamente en el CM y obtuvimos algunos errores particulares para la CLAN -01A03-.

root@cpdcm1 log]# grep -E "<CLAN IP>" messages

Apr 15 10:55:01 cm1 logmanager:  IPEVT   IPT_UNREG board=01A03 ip=<CLAN IP> net_reg= 108 ext= <Phone Ext> ip= <Phone IP>;49303 net_reg= 110 reason=2204

En la documentación de Avaya, encontramos la descripción del evento de denegación número 2204.

“Avaya Aura™ Communication Manager Denial Events”

https://downloads.avaya.com/css/P8/documents/100059379

Razón=2204

IPFURQ-reg expired-nosock

Forzar desregistro del enlace del teléfono si el contador de retardo de pérdida del enlace expiró y no está en la llamada.

Descripción del Problema.

Usar TTS con un Firewall que tiene inspecciones H323 habilitadas (también conocidas como Inspección Profunda de Paquetes), puede causar que los teléfonos IP fallen al registrarse y permanecer en estatus conectándose. Esto pasa en teléfonos IP donde "any-auth" es el mecanismo de seguridad configurado en la forma SAT "ip-network-region" para la región de red donde el teléfono reside. La primera vez que un teléfono IP se registra es exitosa. El problema ocurre en registros subsecuentes (re-registros) después del registro inicial.

El problema es causado por un problema de interoperabilidad entre la funcionalidad TTS y la función de inspección de H323 usada en algunos Firewalls. La funcionalidad de TTS permite a los teléfonos IP reconectarse al CM sin usar el proceso completo de configuración. En vez de eso, el teléfono reutiliza el socket originalmente usado para registrar el teléfono.  Esto acelera significativamente el registro en masa de un gran números de dispositivos. Esto causa un problema de interoperabilidad con algunos Firewalls donde las inspecciones de H323 están habilitadas.

Resolución 

Deshabilitar las inspecciones de H323 en el Firewall cuando se esté usando la funcionalidad TTS. La funcionalidad TTS está habilitada por defecto. Teniendo la inspección H323 deshabilitada en el firewall no es una problema de seguridad en configuraciones donde el mapeo estático de puertos está siendo utilizado (ACLs).

Espero que esto les funcione y puedan usarlo como un punto de inicio para sus siguientes sesiones de diagnóstico.