VOIP funktioniert nicht wenn FritzBox ins VLAN gehängt wird

ceofreak

Hi leute,

ja, ich schon wieder :D Ich will das Thema endlich für mich abschließen.

Kurz:

Modem -> pfSense -> Switch

Management Lan | VLAN10 | VLAN20

FritzBox im Management LAN mit Hybrid Outbound NAT - Alles funktioniert

Fritzbox im VLAN10 mit Hybrid Outbound NAT - Rein und raus Ruf möglich, allerdings kein Ton auf beiden Seiten.

Mein NAT:

http://imgur.com/a/ieoT1

.10 VLAN10
.20 VLAN20
.100 Lan

Wäre äusserst dankbar wenn mir wer hilft das zu verstehen. Liegt es daran, dass die Fritz selbst keine VLAN ID zugeteilt hat?

flix87

Warum es in dem einen VLAN geht und in dem anderen nicht könnte noch etwas mit Firewall Regeln zu tun haben.
Hier mal reinschauen da steht einiges drin von mir.
https://forum.pfsense.org/index.php?topic=120063.0
In deinem NAT fehlt die Regel für Static Port für die Fritz Box.

VLAN muss bei der FritzBox nicht eingestellt werden wenn der Port Untagged im entsprechenden VLAN ist.

ceofreak

@flix87:

Warum es in dem einen VLAN geht und in dem anderen nicht könnte noch etwas mit Firewall Regeln zu tun haben.
Hier mal reinschauen da steht einiges drin von mir.
https://forum.pfsense.org/index.php?topic=120063.0
In deinem NAT fehlt die Regel für Static Port für die Fritz Box.

VLAN muss bei der FritzBox nicht eingestellt werden wenn der Port Untagged im entsprechenden VLAN ist.

Hi flix,

das .100er lan ist kein Vlan, ist n normaler LAN port ohne VLAn.

flix87

Dann passt es vom VLAN her war nur etwas verwirrt weil du geschrieben hattest das du der FritzBox keine VLAN Id zugeteilt hast.

Dann wird es wohl an den Outbound NAT Regeln liegen.
Mal so anpassen wir es in meinem Link steht dann nochmal testen.
Ggf. die States vorher löschen.

ceofreak

@flix87:

Dann passt es vom VLAN her war nur etwas verwirrt weil du geschrieben hattest das du der FritzBox keine VLAN Id zugeteilt hast.

Dann wird es wohl an den Outbound NAT Regeln liegen.
Mal so anpassen wir es in meinem Link steht dann nochmal testen.
Ggf. die States vorher löschen.

Aber wieso funktioniert es dann jetzt mit den rules die ich habe? Ich hab ja jetzt auch nur den static port auf das gesamte .100er netz genatted?

flix87

Ah jetzt sehe ich das erst.
Ja im 100er Lan hast du Static Port an dann geht VOIP auch mit RTP
Im 10er Lan hast du das nicht aktiv daher geht das nicht.
Musst Static Port für die FritzBox auch im 10er Lan aktivieren.
Und am besten nur für die FritzBox sonst bekommst du andere Probleme

Static Port sagt ja aus das der Port nach extern nicht durch NAT verändert wird sprich 5060 geht auch mit 5060 raus.
Wollen zwei geräte mit port 5060 raus wird das zu Problemen führen.
Deswegen wir ja auch empfohlen wenn man zwei VOIP Geräte hinter einen WAN hat den SIP Proxy zu nutzen.

Also mach mal Static Port für die IP der FritzBox im 10er Lan und teste nochmal.

PS das mit Static Port bezieht sich nicht nur auf 5060 sondern auf alle Ports. Je mehr Clients du hast desto höher die Chance das es Überscheindungen gibt.
Daher am besten nur die FritzBox IP mit Static Port rausgehen lassen und auf UDP begrenzen das sollte für VOIP reichen

ceofreak

@flix87:

Ah jetzt sehe ich das erst.
Ja im 100er Lan hast du Static Port an dann geht VOIP auch mit RTP
Im 10er Lan hast du das nicht aktiv daher geht das nicht.
Musst Static Port für die FritzBox auch im 10er Lan aktivieren.
Und am besten nur für die FritzBox sonst bekommst du andere Probleme

Static Port sagt ja aus das der Port nach extern nicht durch NAT verändert wird sprich 5060 geht auch mit 5060 raus.
Wollen zwei geräte mit port 5060 raus wird das zu Problemen führen.
Deswegen wir ja auch empfohlen wenn man zwei VOIP Geräte hinter einen WAN hat den SIP Proxy zu nutzen.

Also mach mal Static Port für die IP der FritzBox im 10er Lan und teste nochmal.

PS das mit Static Port bezieht sich nicht nur auf 5060 sondern auf alle Ports. Je mehr Clients du hast desto höher die Chance das es Überscheindungen gibt.
Daher am besten nur die FritzBox IP mit Static Port rausgehen lassen und auf UDP begrenzen das sollte für VOIP reichen

Ah! Jetzt versteh ich den Sinn dahinter. Danke dir! Werd es probieren sobald ich dazu komme und mich hier zurückmelden!

Ceo

ceofreak

@flix87:

Ah jetzt sehe ich das erst.
Ja im 100er Lan hast du Static Port an dann geht VOIP auch mit RTP
Im 10er Lan hast du das nicht aktiv daher geht das nicht.
Musst Static Port für die FritzBox auch im 10er Lan aktivieren.
Und am besten nur für die FritzBox sonst bekommst du andere Probleme

Static Port sagt ja aus das der Port nach extern nicht durch NAT verändert wird sprich 5060 geht auch mit 5060 raus.
Wollen zwei geräte mit port 5060 raus wird das zu Problemen führen.
Deswegen wir ja auch empfohlen wenn man zwei VOIP Geräte hinter einen WAN hat den SIP Proxy zu nutzen.

Also mach mal Static Port für die IP der FritzBox im 10er Lan und teste nochmal.

PS das mit Static Port bezieht sich nicht nur auf 5060 sondern auf alle Ports. Je mehr Clients du hast desto höher die Chance das es Überscheindungen gibt.
Daher am besten nur die FritzBox IP mit Static Port rausgehen lassen und auf UDP begrenzen das sollte für VOIP reichen

Bin gerade am testen, allerdings kann ich wenn ich bei Firewall / NAT / Outbound ne neue rule erstelle als Source ja nur das ganze Subnetz angeben, nicht die IP der FritzBox speziell.

EDIT: Das mit dem static port auf VLAN10 hat auf jeden fall funktioniert, voip läuft jetzt im VLAN schon mal :) Jetzt müsste ich nur noch wissen wie ich die outbound rule nur für die IP der FritzBox einstelle.

flix87

Auch mit der Subnetzmakse einfach /32 das ist ein Netz mit nur einer IP also z.B. 192.168.10.10/32 wäre nur die IP 192.168.10.10