Elastix — как позволить пользователем из внешней сети использовать внутреннюю для IP-телефонии?

Имеется АТС с Elastix на борту. После взлома все разрешённые IP-адреса для всех экстеншенов были ограничены внешним IP офиса (допустим, X.X.X.X, важно, что это IP внешний, а не внутренний).

Но имеются пользователи, которым необходимо предоставить доступ с других адресов (Y.Y.Y.Y). Адреса динамические, то есть просто создать экстеншены не выйдет.

Вижу несколько вариантов решения этой проблемы:
1) Proxy-сервер на машине с Elastix'ом. Но пропускает ли он SIP?
2) DynDNS для пользователей вне офиса. Вопрос в целесообразности, ибо изменение внешнего IP этих пользователей нужно лишь для IP-телефонии.
3) NAT. Тот же вопрос.