Здесь перечислены SIP, SDP, RTP и RTCP-признаки, которые SIP Analyzer автоматически обнаруживает в PCAP/PCAPNG дампах. Найдите знакомый симптом: SIP 403 Forbidden, Missing ACK, one-way audio, отсутствие RTP, packet loss, jitter или проблему согласования медиапортов.
Что означает обнаружение
Сервис показывает наблюдаемый факт в дампе и помогает быстро локализовать подозрительный вызов. Это не заменяет проверку конфигурации PBX, SBC, firewall, NAT или оператора: одна и та же видимая проблема может иметь несколько первопричин. Некоторые карточки объединяют warning/critical варианты одного признака, поэтому видимых пунктов меньше, чем внутренних кодов анализатора.
01
SIP-отказы
02
SDP и установка вызова
03
RTP и one-way audio
04
RTCP-отчеты
Ниже собраны формулировки, с которыми обычно ищут проблему в Asterisk, FreePBX, 3CX, Twilio SIP Trunking и Microsoft Teams Direct Routing. SIP Analyzer не настраивает эти системы автоматически, но показывает в PCAP факты, с которых начинается точная проверка.
Если звонок устанавливается, но звук идет только в одну сторону или отсутствует, в дампе стоит искать приватный media IP в SDP, отсутствие обратного RTP и несовпадение медиапорта. Для PJSIP это помогает проверить внешний media address, local network, direct media и правила firewall.
Если вызов через Twilio отвечает, а затем завершается примерно через 30 секунд, проверьте, есть ли ACK после 200 OK и куда он направлен по Contact/Record-Route. Для отказа 403 полезно отдельно сверить ACL, credentials и маршрут SIP trunk.
При тишине, прерывистом голосе или одностороннем RTP на 3CX дамп позволяет отделить потерю медиапакетов от неверного SDP-маршрута. Для on-premise установки дополнительно проверяют RTP-порты, port preservation, firewall checker и отключение SIP ALG.
Когда звонок Microsoft Teams проходит через SBC, но одна сторона не слышит звук, PCAP помогает проверить SIP/SDP-адреса, фактический RTP и участок, на котором медиа исчезло. Это особенно важно при media bypass, firewall и сложном маршруте через trunk.
Ошибки согласования медиа встречаются на Asterisk, FreePBX, операторских trunks и SBC: вызов отклоняется, если стороны не договорились о кодеке или параметрах SDP. В дампе можно сопоставить offer/answer и увидеть точный SIP-ответ.
Ответы 4xx, 5xx и 6xx показывают, почему запрос, регистрация или вызов не были приняты удаленной стороной, прокси или шлюзом.
Сигнал анализатора: SIP_400
Что означает
Сервер получил SIP-сообщение, но не смог его разобрать. Обычно это некорректный заголовок, URI, SDP или поврежденное сообщение.
Что проверить
Сравните запрос с рабочим звонком и проверьте обязательные SIP-заголовки и формат SDP.
Сигнал анализатора: SIP_401
Что означает
Узел потребовал аутентификацию. Challenge может быть штатным при регистрации, но повторяющийся финальный 401 означает проблему с учетными данными или digest-ответом.
Что проверить
Проверьте REGISTER/INVITE после challenge, логин, realm и наличие корректного Authorization.
Сигнал анализатора: SIP_403
Что означает
Сервер понял запрос, но запретил его выполнять. Причиной могут быть ACL, запрет направления, лимит, блокировка IP или отсутствие прав на номер.
Что проверить
Проверьте разрешенные направления и номера, IP allowlist, состояние аккаунта и логи оператора или SBC. Для Twilio Elastic SIP Trunking отдельно сверьте ACL, credentials и Termination URI.
Сигнал анализатора: SIP_404
Что означает
Вызываемая цель не найдена на узле, который вернул ответ. Это часто означает неверный номер, маршрут или незарегистрированный endpoint.
Что проверить
Проверьте нормализацию номера, dial plan, регистрацию абонента и выбранный trunk.
Сигнал анализатора: SIP_405
Что означает
Сервер доступен, но не принимает данный SIP-метод на этом ресурсе, например REGISTER или REFER.
Что проверить
Проверьте назначение маршрута и поддержку метода на PBX, proxy или операторском шлюзе.
Сигнал анализатора: SIP_407
Что означает
SIP-прокси требует авторизацию. Первый challenge часто нормален; проблема возникает, если после него запрос не проходит дальше.
Что проверить
Проверьте следующий запрос с Proxy-Authorization и учетные данные транка.
Сигнал анализатора: SIP_408
Что означает
Удаленная сторона не ответила за отведенное время. Причина может быть в маршруте, firewall, недоступном endpoint или перегруженном узле.
Что проверить
Ищите ретрансмиссии INVITE, сетевые потери и наличие ответов от следующего хопа.
Сигнал анализатора: SIP_480
Что означает
Абонент или сервис временно не может принять вызов: устройство offline, нет регистрации, включен режим недоступности или маршрут временно закрыт.
Что проверить
Проверьте регистрацию endpoint, правила переадресации и статус абонента у PBX или оператора.
Сигнал анализатора: SIP_481
Что означает
Узел получил сообщение для диалога или транзакции, которых он больше не знает. Частые причины: рассинхронизация dialog state, неверный route set или запоздалый BYE.
Что проверить
Сопоставьте Call-ID, tags и CSeq в цепочке сообщений и проверьте SBC/B2BUA между сторонами.
Сигнал анализатора: SIP_486
Что означает
Целевой абонент занят или endpoint сознательно сообщает состояние busy. Это не всегда неисправность сети, но объясняет несостоявшийся разговор.
Что проверить
Сверьте время вызова, состояние линии и ожидаемую логику очереди или переадресации.
Сигнал анализатора: SIP_487 / SIP_487_CANCELLED
Что означает
Запрос был прекращен до установления вызова. Если в дампе есть CANCEL, анализатор отдельно отмечает штатную отмену, а не самостоятельную аварию.
Что проверить
Проверьте, кто отправил CANCEL и не был ли вызов снят из-за долгого ожидания ответа.
Сигнал анализатора: SIP_488
Что означает
Удаленная сторона не принимает предложенные медиапараметры. Чаще всего не совпадают кодеки, SRTP/DTLS-настройки или формат SDP.
Что проверить
Сравните offer/answer SDP: список кодеков, payload type, encryption и направления media.
Сигнал анализатора: SIP_491
Что означает
В диалоге уже выполняется другое изменение сессии, поэтому новый re-INVITE или UPDATE временно отклонен.
Что проверить
Проверьте пересекающиеся re-INVITE/UPDATE и корректность повторной попытки после таймера.
Сигнал анализатора: SIP_500
Что означает
SIP-сервер не смог выполнить запрос из-за внутренней ошибки обработки.
Что проверить
Сопоставьте момент ответа с логами PBX/SBC, нагрузкой и конкретным входящим сообщением.
Сигнал анализатора: SIP_502
Что означает
Шлюз или proxy получил некорректный ответ либо не смог корректно работать с upstream SIP-узлом.
Что проверить
Проверьте следующий участок маршрута, trunk и логи промежуточного SBC.
Сигнал анализатора: SIP_503
Что означает
Узел временно не принимает запросы из-за обслуживания, перегрузки, аварии или закрытого маршрута.
Что проверить
Проверьте Retry-After, состояние провайдера, capacity и доступность резервного маршрута.
Сигнал анализатора: SIP_504
Что означает
Промежуточный SIP-узел не дождался ответа от следующего сервера по маршруту.
Что проверить
Найдите последний отвечающий hop, ретрансмиссии и сетевые ограничения между proxy и upstream.
Сигнал анализатора: SIP_603
Что означает
Вызов был явно отклонен вызываемым пользователем или логикой сервиса, а не просто не принят вовремя.
Что проверить
Проверьте, ожидаемо ли отклонение, и не формирует ли его правило PBX вместо endpoint.
Сигнал анализатора: SIP_606
Что означает
Сессия не может быть принята с указанными параметрами, причем отказ относится ко всем возможным местоположениям вызываемого абонента.
Что проверить
Проверьте SDP, требования к медиа и совместимость настроек на обоих концах маршрута.
Сигнал анализатора: SIP_4xx / SIP_5xx / SIP_6xx
Что означает
Анализатор также показывает коды ошибок, не входящие в список пояснений: 4xx как отказ запроса, 5xx как ошибка сервера и 6xx как глобальный отказ.
Что проверить
Используйте точный status line в дампе и документацию оборудования или провайдера для трактовки редкого кода.
Эти признаки помогают найти неполный диалог, сорванное установление звонка и несогласованную адресацию медиа до анализа качества RTP.
Сигнал анализатора: MISSING_INVITE
Что означает
В собранном диалоге нет начального INVITE. Вызов мог начаться до захвата трафика или дамп содержит только фрагмент сессии.
Что проверить
Убедитесь, что запись началась до набора номера и захватывает нужный интерфейс.
Сигнал анализатора: NO_SDP
Что означает
В сообщениях вызова не найдено описание медиа. Без SDP невозможно надежно сопоставить объявленные IP, порты, кодеки и RTP-потоки.
Что проверить
Проверьте INVITE и ответы 18x/200 OK, а также полноту захваченной сигнализации.
Сигнал анализатора: SDP_PORT_ZERO
Что означает
В SDP указан нулевой media port. Обычно это нормальное удержание вызова или временное выключение направления аудио.
Что проверить
Посмотрите re-INVITE до и после hold, чтобы отличить ожидаемую паузу от застрявшего медиа.
Сигнал анализатора: PRIVATE_IP_IN_SDP
Что означает
Сторона объявила для RTP адрес из приватной сети. Между разными NAT или через интернет такой адрес может быть недостижим и вызвать отсутствие звука.
Что проверить
Проверьте media anchoring на SBC, NAT traversal и фактические адреса RTP в дампе. Для Asterisk/FreePBX это часто повод проверить local_net и внешний media address.
Сигнал анализатора: INVITE_RETRANSMISSIONS
Что означает
Один и тот же INVITE отправляется повторно, потому что своевременный ответ не получен. Это признак потери SIP-пакетов, недоступности узла или задержки ответа.
Что проверить
Проверьте направление повторов, время между ними, firewall и ответные сообщения по тому же CSeq.
Сигнал анализатора: REINVITE
Что означает
В уже существующем вызове появились повторные INVITE с новым CSeq. Это может быть нормальный hold/resume или смена параметров, но полезно при поиске момента пропажи аудио.
Что проверить
Сравните SDP до и после re-INVITE: адреса, порты, кодеки и направление потока.
Сигнал анализатора: MISSING_ACK
Что означает
Вызывающая сторона не подтвердила успешное установление сессии после 200 OK. Частое проявление: разговор не устанавливается или звонок обрывается примерно через 30 секунд.
Что проверить
Проверьте маршрут ACK, Contact/Record-Route, NAT и то, доходит ли 200 OK до вызывающей стороны. Для Twilio SIP Trunking это соответствует сценарию ACK not received и обрыва вызова после ответа.
Сигнал анализатора: ELEVATED_SETUP / LONG_SETUP
Что означает
Анализатор отмечает время от INVITE до 200 OK свыше 5 секунд как повышенное, а свыше 10 секунд как критически долгое.
Что проверить
Смотрите, на каком ответе задерживается диалог: маршрутизация, поиск абонента, оператор или endpoint.
Сигнал анализатора: NO_INVITE_RESPONSE
Что означает
INVITE присутствует, но анализатор не видит ни provisional-ответа 1xx, ни 2xx, ни SIP-ошибки. Сигнализация, вероятно, не дошла или ответ не попал в захват.
Что проверить
Проверьте сетевой маршрут, firewall, транспорт SIP и точку, в которой снят PCAP.
Сигнал анализатора: NO_BYE
Что означает
Вызов был подтвержден, но сообщение завершения BYE не найдено. Дамп мог закончиться раньше разговора либо завершение прошло нестандартно.
Что проверить
Проверьте длительность записи, CANCEL/BYE на обеих сторонах и таймеры сессии.
Сигнал анализатора: PRIVATE_IP_IN_SIP_HEADERS
Что означает
SIP-заголовки маршрутизации содержат приватный адрес. Даже если SDP исправен, последующие ACK, BYE или re-INVITE могут уйти на недостижимый адрес за NAT.
Что проверить
Проверьте advertised address, rport, rewrite Contact/Via/Record-Route, topology hiding на SBC и отключение SIP ALG.
Сигнал анализатора: CONTACT_SOURCE_MISMATCH
Что означает
Endpoint или PBX сообщает Contact, который не совпадает с адресом, откуда реально пришел SIP-пакет. Это частая причина неправильного маршрута ACK/BYE.
Что проверить
Сравните Contact с packet source, проверьте external_signaling_address, NAT mapping, SBC rewrite и SIP ALG.
Сигнал анализатора: CSEQ_DECREASE / CSEQ_METHOD_MISMATCH
Что означает
CSeq уменьшился или один CSeq используется разными методами. Это указывает на сломанную логику UA/B2BUA, склейку разных диалогов или некорректную маршрутизацию.
Что проверить
Сопоставьте CSeq, method, Call-ID и tags по ladder diagram, затем проверьте SBC/B2BUA между сторонами.
Сигнал анализатора: REGISTER_AUTH_LOOP
Что означает
Registrar снова и снова требует авторизацию после REGISTER. Обычно это неверные credentials, realm, digest/nonce или несовпадение учетной записи trunk.
Что проверить
Проверьте username, auth username, password, realm, nonce handling, IP ACL и логи registrar/PBX.
Сигнал анализатора: REGISTER_REJECTED
Что означает
Регистрация получила финальный отказ, например 403, 404, 423, 500 или 503. Endpoint может не принимать входящие вызовы или trunk не будет доступен.
Что проверить
Проверьте AoR, разрешенный домен, ACL, Min-Expires при 423, состояние аккаунта и доступность registrar.
Сигнал анализатора: MISSING_PRACK
Что означает
Provisional response требует reliable delivery через PRACK, но PRACK в дампе не найден. Установление вызова или early media могут зависнуть.
Что проверить
Проверьте поддержку PRACK/100rel на endpoint, Asterisk/FreePBX/3CX, SBC и операторском SIP trunk.
Сигнал анализатора: PRACK_REJECTED
Что означает
PRACK найден, но получил ошибочный ответ. Reliable provisional response не подтвержден корректно.
Что проверить
Сверьте RAck/RSeq, route set, CSeq PRACK и поддержку 100rel на обеих сторонах.
Сигнал анализатора: EARLY_MEDIA_NO_RTP
Что означает
Удаленная сторона объявила early media через 183 с SDP, но RTP до 200 OK не появился. Пользователь может не слышать ringback, IVR или announcement.
Что проверить
Проверьте RTP route до ответа, firewall/NAT для early media и поведение carrier/SBC.
Сигнал анализатора: PROVISIONAL_SDP_CHANGED
Что означает
Несколько 180/183 ответов содержат разные media address, port, codec или direction. Это важно при поиске момента пропажи ringback или раннего аудио.
Что проверить
Сравните 18x SDP и проверьте, кто меняет media path: carrier, SBC, announcement server или PBX.
Сигнал анализатора: SDP_CONNECTION_ZERO
Что означает
Connection address в SDP равен нулевому адресу. Это старый способ hold/disable media и он может выглядеть как отсутствие звука.
Что проверить
Проверьте re-INVITE hold/resume и убедитесь, что после resume возвращается реальный media address.
Сигнал анализатора: SDP_INACTIVE / SDP_DIRECTION_ONE_WAY
Что означает
SDP явно ограничивает направление медиа. Тишина или односторонний звук могут быть ожидаемыми при hold, mute или announcement.
Что проверить
Сопоставьте direction attribute с жалобой пользователя и моментом re-INVITE/UPDATE.
Сигнал анализатора: SDP_NO_COMMON_CODEC
Что означает
Offer и answer не имеют общего голосового кодека. Иногда это видно даже без 488 Not Acceptable Here: вызов формально идет дальше, но медиа несовместимо.
Что проверить
Сравните allow/disallow codecs, transcoding policy, G.729/G.722/Opus настройки и codec lists на PBX/SBC.
Сигнал анализатора: SDP_DYNAMIC_RTPMAP_MISSING
Что означает
Payload type 96-127 требует a=rtpmap. Без него получатель не знает, какой codec соответствует RTP payload type.
Что проверить
Исправьте SDP normalization на PBX/SBC или добавьте корректный a=rtpmap для dynamic PT.
Сигнал анализатора: DTMF_NOT_NEGOTIATED
Что означает
В SDP не найден telephone-event. Тональные команды IVR, PIN и post-dial DTMF могут не проходить через SIP trunk.
Что проверить
Проверьте RFC2833/RFC4733 telephone-event в offer/answer и настройки DTMF mode на PBX, endpoint и trunk.
Сигнал анализатора: SDP_IP_VERSION_MISMATCH
Что означает
В одном диалоге SDP смешивает IPv4 и IPv6 адреса. Это может ломать медиапуть при неполном dual-stack или неверном SBC rewrite.
Что проверить
Проверьте доступность IPv4/IPv6 media path, NAT64, DNS/transport policy и правила SBC.
Здесь собраны причины отсутствия звука, односторонней слышимости и слышимых дефектов речи: потери, разрывы, джиттер и несоответствие SDP реальному медиа.
Сигнал анализатора: RTP_NOT_FOUND
Что означает
Вызов объявил медиапорты через SDP, однако RTP-пакеты по ним не найдены. Это соответствует сценарию отсутствия аудио или дампу только с SIP.
Что проверить
Проверьте NAT/firewall, media IP и ports, точку захвата и не идет ли RTP другим маршрутом.
Сигнал анализатора: ONE_WAY_RTP
Что означает
В дампе RTP виден только от одной стороны вызова. На слух это часто выглядит как one-way audio: один собеседник слышит, второй нет.
Что проверить
Проверьте обратный media path, NAT, ACL/firewall и корректность SDP-адреса стороны без RTP. Такой PCAP особенно полезен при диагностике Asterisk/FreePBX, 3CX и SBC для Teams Direct Routing.
Сигнал анализатора: MULTIPLE_RTP_SOURCES
Что означает
Для одного вызова обнаружены RTP-пакеты более чем от двух адресов. Это может быть конференция, transfer, media relay или неожиданная смена маршрута.
Что проверить
Сопоставьте адреса с re-INVITE, конференцией и узлами SBC/media server.
Сигнал анализатора: RTP_PAYLOAD_TYPE_MISMATCH
Что означает
Поток использует payload type, отсутствующий в SDP `m=audio` или `a=rtpmap`. Получатель может интерпретировать звук неправильным кодеком или отбросить его.
Что проверить
Сравните payload types каждого RTP-потока с offer/answer SDP и настройками transcoding.
Сигнал анализатора: RTP_UNKNOWN_SOURCE
Что означает
Медиа приходит с адреса, которого нет среди SDP-адресов. Это бывает нормально при NAT или media relay, но важно при диагностике маршрута.
Что проверить
Установите, принадлежит ли адрес SBC/прокси, и проверьте, ожидался ли symmetric RTP.
Сигнал анализатора: SDP_RTP_PORT_MISMATCH
Что означает
RTP направлен на порт, который сторона не объявляла в SDP. Несоответствие медиапортов может привести к одностороннему звуку или полной тишине.
Что проверить
Проверьте переписывание SDP на NAT/SBC и фактические назначения RTP после re-INVITE.
Сигнал анализатора: RTP_LOSS / RTP_CRITICAL_LOSS
Что означает
Потери более 1% отмечаются как предупреждение, а более 5% как критическая проблема. Потерянные голосовые пакеты дают пропуски слов, щелчки и фрагменты тишины.
Что проверить
Ищите перегрузку, QoS, проблемное направление IP -> IP и сравнивайте потери для обоих потоков разговора.
Сигнал анализатора: RTP_ELEVATED_INTERVAL / RTP_CRITICAL_INTERVAL
Что означает
Для голоса пакеты обычно идут примерно каждые 20 мс. Средний интервал выше 25 мс отмечается, а выше 40 мс считается критическим.
Что проверить
Проверьте реальные packetization settings, потери и полноту дампа до вывода о качестве канала.
Сигнал анализатора: RTP_GAP / RTP_CRITICAL_GAP
Что означает
Максимальный промежуток между RTP-пакетами свыше 100 мс отмечается как разрыв, а свыше 500 мс как критический провал медиа.
Что проверить
Найдите место разрыва на дорожке воспроизведения и сопоставьте его с сетью, transfer или re-INVITE.
Сигнал анализатора: RTP_JITTER / RTP_CRITICAL_JITTER
Что означает
Средний джиттер выше 15 мс отмечается предупреждением, выше 30 мс - критическим. Неравномерная доставка затрудняет работу jitter buffer и портит речь.
Что проверить
Проверьте направление с высоким jitter, нагрузку сети, очереди и QoS для RTP.
Сигнал анализатора: RTP_PEAK_JITTER / RTP_CRITICAL_PEAK_JITTER
Что означает
Пиковый джиттер выше 50 мс отмечается как высокий, а выше 100 мс как критический. Один всплеск может быть слышен даже при хорошем среднем качестве.
Что проверить
Сопоставьте временной пик с изменениями маршрута, burst loss или перегрузкой оборудования.
Сигнал анализатора: RTP_OUT_OF_ORDER
Что означает
Заметная доля пакетов имеет нарушенную последовательность. Jitter buffer иногда исправляет порядок, но сильное переупорядочивание вызывает артефакты.
Что проверить
Проверьте разные сетевые пути, балансировку и sequence numbers проблемного SSRC.
Сигнал анализатора: RTP_DUPLICATES
Что означает
В потоке есть пакеты с повторяющимися данными или последовательностями. Дубли могут указывать на особенности захвата либо сетевое дублирование.
Что проверить
Исключите дублирование из-за точки mirror/SPAN и проверьте, повторяется ли проблема на endpoint capture.
Сигнал анализатора: RTP_SSRC_CHANGED
Что означает
Один media direction использует несколько SSRC. Это может быть нормально при hold/transfer/transcoding, но часто объясняет артефакты или проблемы записи.
Что проверить
Сопоставьте смену SSRC с re-INVITE, transfer, media relay, transcoder или recorder.
Сигнал анализатора: RTP_TIMESTAMP_JUMP / RTP_TIMESTAMP_REGRESSION
Что означает
Timestamp должен расти согласованно с codec clock. Резкие скачки или движение назад указывают на sender clock, RTP proxy, transcoder или recorder issue.
Что проверить
Проверьте timeline RTP timestamp, gap markers, hold/transfer и устройство, которое меняет media.
Сигнал анализатора: RTP_SEQUENCE_RESET
Что означает
Sequence number сбросился, но SSRC остался прежним. Для непрерывного RTP это подозрительно и может ломать jitter buffer или запись.
Что проверить
Проверьте sender restart, RTP proxy, transcoder и capture stitching.
Сигнал анализатора: RTP_LATE_START
Что означает
Вызов уже отвечен 200 OK, но RTP появляется с заметной задержкой. Пользователь слышит тишину в начале разговора.
Что проверить
Проверьте endpoint media start, NAT pinhole, firewall, SBC anchoring и первый RTP packet после ACK.
Сигнал анализатора: RTP_AFTER_BYE
Что означает
SIP-диалог завершился BYE, но RTP продолжает идти. Это указывает на задержку освобождения media relay или некорректное завершение session.
Что проверить
Проверьте BYE delivery, RTP timeout, media relay/SBC cleanup и точку захвата.
Сигнал анализатора: RTP_PAYLOAD_TYPE_CHANGED
Что означает
Один SSRC использует несколько payload type. Без соответствующего re-INVITE/UPDATE получатель может декодировать часть потока неверно.
Что проверить
Сравните смену PT с SDP renegotiation и политикой transcoding на PBX/SBC.
RTCP Receiver Report позволяет увидеть качество, которое сообщает получатель, даже когда локально записанный RTP-поток кажется нормальным.
Сигнал анализатора: RTCP_RECEIVER_LOSS / RTCP_RECEIVER_CRITICAL_LOSS
Что означает
В Receiver Report потери выше 1% отмечаются, а выше 5% считаются критическими. Это подтверждение деградации на пути до принимающей стороны.
Что проверить
Сравните RTCP-report с локальным RTP: проблема может находиться после точки, где снят дамп.
Сигнал анализатора: RTCP_RECEIVER_JITTER / RTCP_RECEIVER_CRITICAL_JITTER
Что означает
Получатель сообщает джиттер выше 15 мс как повышенный и выше 30 мс как критический. Удаленная сторона могла слышать дефекты, не очевидные в локальной записи.
Что проверить
Проверяйте участок сети до получателя, его jitter buffer и расхождение с RTP-метриками в дампе.