Kein Verbindungsaufbau Telekom VOIP mit eigenen DNS Servern / PFSense als DNS Resolver

DD4711

Hallo zusammen,

ich grüße alle hier im Forum. Nutze die PFsense schon länger, jetzt habe ich mich mal hier im Forum angemeldet, bisher stiller Mitleser gewesen. Ich hätte nämlich ein kleines Problem :(

Ich nutze eine PFSense direkt am Glasfaser Modem 2 der Telekom. PFSense macht PPPoE.

Ich versuche nun verzweifelt VOIP an einem Gigaset Comfort 500A IP Base zum Laufen zu bekommen. Ohne Erfolg. Zuvor lief es ohne Probleme an meinen damaligen Telekom DSL Anschluß.

Dieser Beitrag handelt von "Problemen" mit der DNS Auflösung von tel.t-online.de und DNS-SRV (https://forum.netgate.com/topic/170619/voip-aussetzer-bei-magenta-telekom-vermeiden/8). Das könnte ein Problem aktuell sein.

Denn:
Auf der PFSense habe ich unter System / General Setup zwei eigene DNS Server konfiguriert, PFSense ist also DNS Resolver. Port 53 ist ins Internet daher verboten. Unter keinen Umständen möchte ich dieses Setup, wie in dem Beitrag vorgeschlagen, rückgängig machen und die DNS Server der Telekom nutzen.

Auch schreibt dort wkn, dass "Für VOIP ist nur eine Outbound NAT Rule mit Static Port definiert, keine Portweiterleitungen" . Die Firewall Regeln habe ich allerdings nach diesem Doc umgesetzt: https://docs.netgate.com/pfsense/en/latest/recipes/nat-voip-pbx.html . Also Inbound, Outbound NAT und in meinem Fall die jeweiligen ausgehenden Ports der Gigaset Dect Station erlaubt. Ist hier vielleicht auch noch ein Problem in meiner Konfiguration?

Die Ports für VOIP habe ich diesem Doc der Telekom entnommen: https://www.telekom.de/hilfe/internet-telefonie/telefonie/einstellungen-telefoniecenter/voice-over-ip

So, da ich nun nicht wirklich weiter komme, frage ich mal in die Runde:

Ist es überhaupt möglich mit der PFSense und eigenen DNS Servern eine VOIP Verbindung zur Telekom aufzubauen? Wenn ja, wie? Ist ggf. auch nur mein Gigaset nicht tauglich und es klappt ggf. mit einem anderen Gerät? Laut einem Forenbeitrag bei Gigaset müssen bei der Konfiguration der Verbindung sämtliche Ports weggelassen werden, dann macht die wohl DNS-SRV.

Ich würde mich sehr über Hilfe diesbezüglich freuen :)

eagle61

@DD4711

Hallo, mein Festnetz ist zwar nicht bei der Telekom, sondern bei o2 aber auch o2 zwigt einen zur Nutzung des o2 DNS-Servers, denn die SIP-Server von o2 sind keinem anderen DNS-Servern bekannt. Namensauflösung scheitert dann immer.

Meine Lösung beim Gigaset C430A GO:

IPv4 manuell konfigurieren, kein DHCP nutzen.
das Gigaset C430A GO ist in einem eigenen Netzwerksegment (vlan). Was mit einem managbaren Switch kein Problem ist.
NUR und ausschließlich dem Gigaset erlauben via Port 53 den DNS-Server von o2 ansprechen zu können. Dafür kann man ja eine spezifische Ausnahme der Firewall-Regeln für das separate Netzwerksegment des Gigaset definieren.
Alle anderen Geräte in den anderen Netzwerksegmenten werden dann weiterhin keinen anderen DNS-Server als die pfsense erreichen können.

JeGr

Hi!

@DD4711 said in Kein Verbindungsaufbau Telekom VOIP mit eigenen DNS Servern / PFSense als DNS Resolver:

Auf der PFSense habe ich unter System / General Setup zwei eigene DNS Server konfiguriert, PFSense ist also DNS Resolver.

Nein, ist sie nicht, wenn du 2 Server eingetragen hast UND den entsprechenden Dropdown gesetzt hast, ist sie Forwarder. Wenn das Dropdown auf Standard steht, dann würde sie wahrscheinlich zuerst den bordeigenen Unbound als Resolver nehmen und DANN die Forwarder von hier. Außer du hast bei Unbound dann wieder die Forwardings eingeschaltet, dann macht sie nur Forwarder.

@DD4711 said in Kein Verbindungsaufbau Telekom VOIP mit eigenen DNS Servern / PFSense als DNS Resolver:

Also Inbound, Outbound NAT und in meinem Fall die jeweiligen ausgehenden Ports der Gigaset Dect Station erlaubt. Ist hier vielleicht auch noch ein Problem in meiner Konfiguration?

Das kann keiner wissen, denn WAS genau deine VoIP Konfig benötigt liegt am Anbieter und an dessen Konfiguration. Das ist bei jedem VoIP Anbieter anders und welche Ports dieser nutzt und benötigt liegt an ihm.

Laut deinem zitierten Doc ist eigentlich nur notwendig, outbound static NAT für die Telefonkiste zu erlauben mit TCP&UDP (meist filtert man da eh nicht auf Ports) und ansonsten eingehend die angegebenen UDP Ports auf die Telefonkiste forzuwarden. Von DNS lese ich da gar nichts. Die Frage ist aber ob da vom gleichen VoIP Dienst die Rede ist. Die Telekom hat mehr als ein Produkt was VoIP angeht und da sollte man schon darauf achten genau nachzusehen, WAS man hat und nutzen will und was genau davon die nötigen Voraussetzungen sind.

Wenn DNS da mit reinspielt, muss einfach bei der Telefonkiste der Telekom DNS hinterlegt werden, nicht generell in der pfS irgendwo, das macht für den Rest der Geräte ja keinen Sinn. Reicht wenn die Gigaset Box das tut. Statische Konfig oder zumindest static mapped DHCP sind auf jeden Fall notwendig, damit man ausgehend eine fixe IP ausgehend für static NAT konfigurieren kann und nur die. Und dann erstmal die Kiste restarten und schauen im Log wenns eins gibt, ob die sich verbindet.

Cheers

eagle61

@JeGr said in Kein Verbindungsaufbau Telekom VOIP mit eigenen DNS Servern / PFSense als DNS Resolver:

Von DNS lese ich da gar nichts

Ich auch nicht. Aber DD4711 beschrieb aber Probleme mit der NAmensauflösung. Probleme, die ich von o2 (mein ISP) auch kenne, denn die verstecken ihren SIP-Server sip.alice-voip.de aus mir nicht nachvollziehbaren Gründen. Nur die DNS-Server von o2 lösen den Namen des SIP-Servers von o2 auf. Gleichzeitig beherrschen die DNS-Server von o2 kein DoT (DNS-over-TLS) und so weit ich weiß auch kein DoH (DNS-over-HTTPS).

Will man nun, wie ich, DNS-over-TLS erzwingen, kann man die DNS-Server von o2 nicht nutzen. Daher vermute ich DD4711 hat ein ähnliches Problem, was sich ja schon durch einen einfachen ping auf den SIP-Server der Telekom bestätigen lässt, denn sowohl auf ein ping auf sip.alice-voip.de wie auch auf tel.t-online.de bekomme ich die gleiche Antwort: Name or service not known, der STUN-Server (stun.t-online.de) wird hingegen korrekt aufgelöst zu 217.0.136.1.

Damit kann DD4711 derzeit keine funktionierenden VoIP-Verbindung hinbekommen, denn weder der SIP-Proxy, der Registrar, noch der Realm werden aufgelöst und es wird eine IP-Adresse von der pfsense zurückgeliefert.