Entega, openvpn und das leidige VoIP

Wayfarer · Mar 3, 2019, 12:13 PM

Hallo zusammen,

es gibt zwar viele Informationen zur Thematik VoIP und Telekom. Ich nutze als Anbieter Entega, was nicht das Problem sein sollte. Leider gelingt es mir nicht VoIP in einen funktionierenden Zustand zu bringen.

Zum Aufbau:

      WAN / Internet
            :
            : 
            :
      .-----+-----.
      |   Modem   |  (Draytek Vigor 130, Bridge Mode)
      '-----+-----'
            |
        WAN | PPPoE
            |
      .-----+-----.
      |  pfSense  | (Entega PPPoE Einwahl, VPN Tunnel mit openvpn)
      '-----+-----'
            |
        LAN | 192.168.1.2 /24
            |
      .-----+------.
      | LAN-Switch +-------(Clients/Servers)
      '-----+------'
            |
            | 192.168.1.4
            |
      .-----+------.
      |  FritzBox  | (FritzBox 7490, IP-Adresse manuell festgelegt, VoIP)
      '-----+------'

Die Internetverbindung mit openvpn funktioniert einwandfrei auf allen dahinter liegenden Geräten.

Für VoIP habe ich in pfsense und FritzBox folgendes eingestellt:

Portweiterleitung FritzBox

login-to-view

Conservative Mode

login-to-view

Alias für Ports – SIP 5060 und RTP 7078:7109

login-to-view

Alias für FritzBox IP

login-to-view

WAN Regeln

login-to-view

Outbound Mode und Mapping (weitere automatisch generierte Regeln nicht dargestellt)

login-to-view

Soweit ich das aus verschiedenen Einträgen verstanden habe, ist Port Forwarding in pfsense nicht notwendig, da die Ports von Innen, also der FritzBox, offen gehalten werden.

Trotz diesen Einstellungen registriert sich die Rufnummer nicht an der FritzBox. Liegt es hier an der Kombination VPN Tunnel und VoIP?

Sieht jemand den Fehler und kann mir einen Rat geben, das VoIP Problem zu lösen?

dahoam · Mar 4, 2019, 11:17 AM

Hallo Wayfarer,
ich glaube nicht das dein Problem etwas mit mit OpenVPN zu tun hat.

Ich habe in etwa die gleich Konstellation und habe folgende Regeln / NAT

Zunächst eine Portweiterleitung zur deiner VOIP-Fritz Box in dem geschwärzten steht dann die IP-Adresse deiner Fritz-Box
z.B: 192.168.1.4 oder VoIP_ip
IP-TelefoniePorts sind bei mir 7072:7109

login-to-view

Als nächste die ausgehende NAT-Regel
Zunächst eine Portweiterleitung zur deiner VOIP-Fritz Box in dem geschwärzten steht dann die IP-Adresse deiner Fritz-Box. z.B: 192.168.1.4/32 oder VoIP_ip
Übrigens die obere NAT-Regel sorgt dafür das ich auch bei einer VPN Verbindung auf die Fritz-Box zugreifen kann. 10.8.0.0/24 ist mein OpenVPN-Netz. Siehe auch pfsense-openvpn-nicht-alle-webseiten-im-lan-erreichbar

login-to-view

Als nächstes die WAN-Regel
SIP_Proxy ist ein Alias und verweist auf den Zugangsprovider. Somit sollten nur von diesem Provider Verbindungen aufgebaut werden können. z.B sip.1und1.de.
Welcher SIP-Adresse Entega hat kannst du über die Fritz Box herausfinden.
Gehe auf 'Eigene Rufnummern -> Rufnummer editieren -> 'Telefon Anbieter ="Anderen Anbieter'' auswählen.
Hier stehen dann die SIP und STUN Server. (Vorgang abbrechen)
login-to-view

Nun noch die LAN-Regel
login-to-view

So funktioniert es bei mir.
Die Einstellung "Conservativ" unter "Firewal Optimierungsoptionen" ist ok.
Die Einstellung an der Fritz-Box ebenso.

Viel Erfolg
dahoam

Wayfarer · Mar 5, 2019, 8:56 PM

Hallo dahoam,

vielen Dank für die schnelle Antwort. Aller Anfang ist schwer.

Ich habe das soweit umgesetzt. Zwei Fragen bleiben noch. Das VPN-Netz, wie oben beschrieben, 10.8.0.0/24 und unter Beachtung des gegeben Links, habe ich auf 168.192.1.0/24 gesetzt. Dies führe ich auf meine Augehenden NAT zurück.

login-to-view

Ist dies so korrekt?

Für die Entega Telefonie Registrierung sind in der FritzBox kein Proxy-Server und kein STUN-Server hinterlegt. Hier steht lediglich der Registrar "voip.entega-medianet.de". Ist dies anstelle von "SIP_Proxy" in der WAN-Regel zu setzen oder muss hier weiteres beachtet werden?

dahoam · Mar 5, 2019, 9:56 PM

Hallo Wayfarer
Nun ich würde dem OpenVPN Netz auf jeden Fall eine andere IP Adresse geben.
Am besten eine welche in einem privaten Umfeld sehr selten vorkommt wie z.B 10.0.8.0/24 oder so
192.168.1.0/24 ist ein sehr gebräuchliches privates Netz. Wenn du dich in einem solchen Netz befindest z.B bei Freunden und du willst eine VPN Vetbindung aufbauen wird dies nicht funktionieren, da dein VPN Netz und Zugangsnetz gleich sind. Damit kein NAT möglich.

voip.entega-medianet.de
Ich bin mir zwar nicht sicher, aber ich denke das passt.
SIP_Proxy ist bei mir ein Alias und beeinhaltet sip.1und1.de.

Funktioniert mit diesen Einstellungen die Telefonie?

Gruss
dahoam

Wayfarer · Mar 7, 2019, 6:17 PM

Guten Abend dahoam,

danke für den Tip bezüglich des privaten IP Netzes.

Nein leider sträubt sich die VoIP Registrierung mit diesen Einstellungen immer noch.

Gruß

dahoam · Mar 7, 2019, 7:25 PM

Hallo Wayfarer,

Was geht im Detail nicht?
Geht gar nichts, weder eingehende noch ausgehende Telefonie.
Was zeigt die Fritz-Box in der Übersicht an? Ist dort unter 'Telefonie' deine Telefonnumer registriert?

Wie sind den deine LAN-Regeln? Versuche mal zum Test eine Scheunentor-Regel (Alles auf any)

Ich denke SIP_Proxy müsste bei dir "sip:voip.entega-medianet.de" heissen. oder mache mal zum Test 'any' rein.

Der Port 5060 dient dem Verbindugsaufbau und Registrierung.
Der SIP Registrar authentifiziert dich und vermittelt das Gespräch entsprechend der Telefonnummer an andere SIP-Adressen bzw. ein SIP zu Festnetz Gateway einer Telefongesellschaft weiter.
Das Gespräch findet dann über die RDP- Ports statt.

Hier ist noch eine Beschreibung von SIP-Mehrgeräteanschluss. Funktionsbeschreibung ENTEGA zu finden.

Gruß
dahoam

Wayfarer · Mar 7, 2019, 8:01 PM

In der FritzBox steht: "1 Rufnummer aktiv, davon keine registriert"

Die LAN-Regeln sehen wie folgt aus:

login-to-view

dahoam · Mar 7, 2019, 9:36 PM

Hallo Wayfarer,

Schieb mal die VoIP Regel nach oben.
Denn mit der Allow All Regel vor der VoIP Regel gewinnt diese natürlich zuerst und es geht alles über diese Regel auf das VPN Gateway.
Die VoIP Regel wird dabei nie aktiv

Welche Ports sind im Alias von der VoIP Regeln.

Kommst du nur über das VPN Gateway ins Internet?

Gruss
dahoam

Wayfarer · Mar 10, 2019, 1:44 PM

Hallo dahoam,

ich komme nicht jeden Tag dazu daran weiter zu arbeiten, deshalb etwas verzögerte Antworten.

Die VoIP Regel nach oben verschieben geht, ins Internet komme ich weiterhin. Unter "States" steht jedoch kein Datenaufkommen. Was für mich auch Sinn macht, da noch keine Gespräche über die Ports gehen.

Die Ports im Alias sind 7078:7109, welche ich aus der Sicherungsdatei der FritzBox ausgelesen habe.

Zum Test habe ich SIP_proxy (Registrar: voip.entega-medianet.de) in der WAN-Regel auf "any" gestellt. Ich sehe dann eigehende Pakete, die jedoch nichts mit Entega zu tun haben. Kann es sein, dass die von der FritzBox ausgehende SIP-Registrierungs Anfrage an den Registrar nicht durch kommt?

Gruß

dahoam · Mar 12, 2019, 8:17 PM

Hallo Wayfarer,
Du musst auch noch eine Regel für Port 5060 einstellen. Dies sollte ebenfalls vor der 'Allow All Regel' auf den VPN Gateway stehen. Am besten vor der Alias Regel mit dem VoiP-Ports.

Gruß
dahoam

Wayfarer · Mar 17, 2019, 3:46 PM

Hallo dahoam,

es bleibt spannend.

Habe die genannte Regel eingestellt und sehe nun "REGISTER sip:voip.entega-medianet.de SIP/2.0" Anfragen von der FritzBox IP an eine externe IP von Entega an der LAN-Schnittstelle.

Registrierungs-Antworten bleiben weiterhin aus.

Gedanklich fehlt mir hier noch die Verknüpfung von der Registrierungsanfrage an der LAN-Schnittstelle auf die WAN-Schnittstelle, also nach außen. Benötige ich hier weitere WAN-Regeln oder ist diese Sichtweise falsch?

Gruß, Wayfarer