Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    pfSense mit Telekom SIP-Trunk IP-Anlagenanschluss

    Scheduled Pinned Locked Moved Deutsch
    48 Posts 6 Posters 14.0k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • JeGrJ
      JeGr LAYER 8 Moderator
      last edited by

      Naja Spoofing setzt immer auch irgendwo Wissen voraus. Ich denke eher weniger, dass heute jemand wegen ein bisschen VoIP Anlage den Aufriß macht, sämtliche potentiellen IPs als Quelle für SIP zu spoofen um zu schauen was passiert. Zumal: welcher Nutzen? Wenn du die IP bspw. der Telekom spoofst und dann die Anlage anfunkst, könntest du höchstens erreichen, dass die aus dem Tritt kommt weils bei ihr quasi ständig klingelt, also eher sowas wie Syn-Spoofing / DOS. Und das merkt man recht flott. Zudem man dann die gespooften Pakete erstmal bis zu dir bekommen müsste. Da die ja logischerweise erstmal durch das Telekom Netz wandern bis zu dir (an deinem Anschluß) würde das IMHO schon vorher auffallen bevor die zu dir kommen, dass da jemand versucht IPs der Telekom zu simulieren. Übernehmen kannst du soweit ich richtig weiß bislang nichts damit, außer mit Spoofing die Anlage oder Telekom zu ärgern. Nutzen somit minimal. :)

      Deshalb ist eine Quellbeschränkung bei offenen Ports am WAN auch eine sinnvolle Absicherung. Sonst bräuchte man das ja (wenns eh gespooft werden könnte) nicht machen ;)

      Don't forget to upvote 👍 those who kindly offered their time and brainpower to help you!

      If you're interested, I'm available to discuss details of German-speaking paid support (for companies) if needed.

      1 Reply Last reply Reply Quote 0
      • nodauN
        nodau
        last edited by

        So, wurde heute auch unfreiwillig von der Telekom zum Wechsel genötigt. Hatte schon Panik, aber die Konfiguration auf einer Unify OpenScape Business X3 verlief geradlinig und ohne größere Probleme, mit den Standardeinstellungen des Assistenten.

        Auf der Sense waren keinerlei Anpassungen nötig.

        Norman

        virtualized pfSense 2.7.2 HA-Cluster on vsphere 8

        R 1 Reply Last reply Reply Quote 0
        • R
          ramup @nodau
          last edited by

          @bahsig OK, danke für die Rückmeldung. Wir sind am Freitag dran.

          Den verschlüsselten Modus hast du noch nicht versucht?
          Wenn man sich als "System" an der OpenScape anmeldet, dann kann man im Experten-Modus unter Telefonie->Sprach-Gateway->ITSP in dem Telekom SIP-Trunk registered Profil bei Transportsicherheit auf TLS umstellen und Mediensicherheit auf SDES only. Man muss nur beides gleichzeitig umschalten.

          1 Reply Last reply Reply Quote 0
          • nodauN
            nodau
            last edited by

            Habs gerade mal umgestellt. Läuft.

            Norman

            virtualized pfSense 2.7.2 HA-Cluster on vsphere 8

            1 Reply Last reply Reply Quote 0
            • R
              ramup
              last edited by ramup

              Ah, danke für die Information. Schade dass Unify nicht standardmäßig die Verschlüsselung aktiviert, zumindest bei den Anbietern die das zulassen.

              1 Reply Last reply Reply Quote 0
              • nodauN
                nodau
                last edited by nodau

                Hier nochmal ein Auszug vom Statuslog.

                ----- Last Diagnostic information for this User -----
                User registered successfully
                
                ----- Current state -----
                STUN: Disabled
                Registration: registered
                
                ----- Connection List:  -----
                [0]: peerAddr=xxxx  TCP  proxy=xxxx  type=QsigTrunk  Number of User(s)=1  
                [1]: peerAddr=217.0.15.69:5061  TLS  proxy=reg.sip-trunk.telekom.de:0  type=Provider  Number of User(s)=1  
                [2]: peerAddr=217.0.15.67:5061  TLS  proxy=reg.sip-trunk.telekom.de:0  type=Provider  Number of User(s)=1  
                [3]: peerAddr=217.0.26.133:5061  TLS  proxy=reg.sip-trunk.telekom.de:0  type=Provider  Number of User(s)=1  
                
                Local TCP-port: 38245
                Remote TCP-addr: 217.0.15.69
                
                ----- Configuration Data -----
                provider name:           Telekom DeutschlandLAN SIP-Trunk Registered Mode
                user name:               +49xxxx
                authorization user name: xxxx
                domain name:             sip-trunk.telekom.de
                transport protocol:      tcp
                transport security:      Secure
                media security:          SDES only
                proxy:                   sip-trunk.telekom.de:0
                registrar:               sip-trunk.telekom.de:0
                expiration time:         600
                outbound proxy:          reg.sip-trunk.telekom.de:0
                STUN:                    not used
                

                Wie schon gesagt. Die Unify hängt an der Sense und nutzt diese als Gateway. Es sind keine ein- und ausgehenden Regeln notwendig.

                Norman

                virtualized pfSense 2.7.2 HA-Cluster on vsphere 8

                1 Reply Last reply Reply Quote 0
                • R
                  ramup
                  last edited by ramup

                  Sieht gut aus. Für ein niedrigeres NAT Keep-Alive kann auch der Wert von 600 auf einen niedrigeren Wert gesetzt werden.
                  Aber wenn keine Probleme auftreten (das heißt pfSense die Verbindung nicht kappt) dann reicht es ja.

                  1 Reply Last reply Reply Quote 0
                  • nodauN
                    nodau
                    last edited by

                    Ich müsste dann mal ein längeres Telefonat führen, um zu checken, ob und wann die Verbindung gekappt wird.

                    Norman

                    virtualized pfSense 2.7.2 HA-Cluster on vsphere 8

                    T 1 Reply Last reply Reply Quote 0
                    • T
                      tpf @nodau
                      last edited by

                      @bahsig said in pfSense mit Telekom SIP-Trunk IP-Anlagenanschluss:

                      Ich müsste dann mal ein längeres Telefonat führen, um zu checken, ob und wann die Verbindung gekappt wird.

                      Ich habe, sofern Unterbrechungen aufgetreten, festgestellt, dass diese bei ziemlich genau 30 Min Gesprächsdauer auftreten. Dabei bleibt das Gespräch stehen, die Sprachkanäle sind aber zumindest einseitig weg.

                      10 years pfSense! 2006 - 2016

                      1 Reply Last reply Reply Quote 0
                      • R
                        ramup
                        last edited by

                        Mit NAT-Keppalive meinte ich aber eher die Dauer in der keine Gespräche stattfinden, also keine Daten übertragen werden und daher die Verbindung zu Registrierungsserver von der Telekom von der pfSense gekappt werden.
                        Der SIP-Trunk hält ja eine Verbindung stetig offen, über den dann die Sprachdaten laufen, wenn telefoniert wird.
                        Das Phänomen mit Verbindungsabbrüchen nach 30-minütigen Telefonaten höre ich zum ersten Mal.

                        1 Reply Last reply Reply Quote 0
                        • nodauN
                          nodau
                          last edited by

                          @tpf: Unterbrechungen habe ich auch nach 1,5h nicht festellen können.

                          @ramup: das mit NAT-Keepalive erschließt sich mir noch nicht. Ich denke aber, dass man damit und einer halbwegs guten Telefonanlage das Problem nicht hat, das die Verbindung gekappt wird. Das würde ja im Umkehrschluss bedeuten, dass ich morgens keine Telefonate führen kann, wenn in der Nacht keiner telefoniert und die Sense den Port dicht macht.

                          Ich muss aber dazu sagen, dass ich die VOIP Telefonie nicht über die Telekom DSL-Leitung mache, sondern über 1&1 Glasfaser.

                          Norman

                          virtualized pfSense 2.7.2 HA-Cluster on vsphere 8

                          1 Reply Last reply Reply Quote 0
                          • R
                            ramup
                            last edited by

                            Das "Problem" ist nicht die Telefonanlage sondern pfSense, die inaktive Verbindungen aus Sicherheitsgründen nach vordefinierten Intervallen trennt und dann eine Neuverbindung nötig ist.
                            Die Intervalle von pfSense ändern sich, also werden z.B. länger wenn die Firewall auf Conservative Mode gestellt wird.
                            Aber scheinbar reichen die 600s ja aus. UPD wird von pfSense schneller gekappt als TCP Verbindungen und ich verstehe es so, dass die Telekom den Stream über TCP realisiert.

                            1 Reply Last reply Reply Quote 0
                            • JeGrJ
                              JeGr LAYER 8 Moderator
                              last edited by

                              @ramup said in pfSense mit Telekom SIP-Trunk IP-Anlagenanschluss:

                              Das "Problem" ist nicht die Telefonanlage sondern pfSense, die inaktive Verbindungen aus Sicherheitsgründen nach vordefinierten Intervallen trennt und dann eine Neuverbindung nötig ist.

                              Woher nimmst du denn diese Info bitte? States verfallen wenn die Verbindung beendet wird oder nach einem Timeout Wert kein Traffic mehr aufgenommen wird. Da wird keine "inaktive Verbindung aus Sicherheitsgründen getrennt". Das ist so nicht richtig. Und da gehts auch nicht um Intervalle, sondern wie gesagt um Timeouts, die jede normale TCP Verbindung hat.

                              Die Intervalle von pfSense ändern sich, also werden z.B. länger wenn die Firewall auf Conservative Mode gestellt wird.

                              Nein, die Timeout Werte werden "konservativer" also höher. Ich habe hier aber zig verschiedene VoIP Installationen die alle mit "normal" mode laufen und noch nie in irgendwelche Timeouts rennen, denn Protokolle die auf Kontinuität angewiesen sind, halten eine Verbindung normalerweise auch sinnvoll aufrecht, da TCP/UDP Timeouts völlig normal sind.

                              UPD wird von pfSense schneller gekappt als TCP Verbindungen

                              Nur nochmal zum Verständnis. Es wird nichts gekappt, die Verbindung wird geschlossen bzw. der State gelöscht, wenn innerhalb der Timeout Values kein Traffic läuft. Völlig normales Vorgehen auf L3, kein Gerät auf L3 will ewig und für immer State Informationen für Millionen Quell-Ziel-Paare mit sich rumschleppen. UDP wird damit auch nicht früher gekappt oder sowas, sondern hat einfach schon weil es Stateless ist ein ganz anderes Timeout Verhalten, da der 3-Wege-Handshake wie bei TCP wegfällt, weswegen UDP deshalb auch gern für Echtzeit-nahe Anwendungen verwendet wird und sich nicht erst mit: "Hallo", "Hallo, na?" "Gut, selbst?" "Auch, dann los" rumschlagen muss bevor es anfangen kann, Daten zu übermitteln. Die Standard PF Timeouts sind BTW:

                              [2.4.4-RELEASE][root@pfs-stable.lab.test]/root: pfctl -s timeouts
                              tcp.first                   120s
                              tcp.opening                  30s
                              tcp.established           86400s
                              tcp.closing                 900s
                              tcp.finwait                  45s
                              tcp.closed                   90s
                              tcp.tsdiff                   30s
                              udp.first                    60s
                              udp.single                   30s
                              udp.multiple                 60s
                              icmp.first                   20s
                              icmp.error                   10s
                              other.first                  60s
                              other.single                 30s
                              other.multiple               60s
                              frag                         30s
                              interval                     10s
                              adaptive.start            58200 states
                              adaptive.end             116400 states
                              src.track                     0s
                              

                              Allein an den ganzen TCP Arten sieht man schon, dass da viel mehr abläuft als bei UDP, ICMP oder anderen. Die Timeouts sind in System>Advanced u.a. anpassbar, wem die Standard 60/30/60 von UDP nicht genügen.

                              Grüße

                              Don't forget to upvote 👍 those who kindly offered their time and brainpower to help you!

                              If you're interested, I'm available to discuss details of German-speaking paid support (for companies) if needed.

                              mike69M 1 Reply Last reply Reply Quote 0
                              • mike69M
                                mike69 Rebel Alliance @JeGr
                                last edited by

                                @JeGr said in pfSense mit Telekom SIP-Trunk IP-Anlagenanschluss:

                                UDP deshalb auch gern für Echtzeit-nahe Anwendungen verwendet wird und sich nicht erst mit: "Hallo", "Hallo, na?" "Gut, selbst?" "Auch, dann los" rumschlagen.

                                Gehört zwar nicht zum Thema, aber dein "Erzählstil" treibt mir oft ein Schmunzeln ins Gesicht.😂

                                DG FTTH 400/200
                                Supermicro A2SDi-4C-HLN4F with pfSense 2.7.2

                                1 Reply Last reply Reply Quote 0
                                • JeGrJ
                                  JeGr LAYER 8 Moderator
                                  last edited by

                                  @mike69 said in pfSense mit Telekom SIP-Trunk IP-Anlagenanschluss:

                                  Gehört zwar nicht zum Thema, aber dein "Erzählstil" treibt mir oft ein Schmunzeln ins Gesicht.

                                  Darf ja auch mal OT sein, aber danke das freut mich. Muss ja nicht immer alles bierernst sein 😃

                                  Don't forget to upvote 👍 those who kindly offered their time and brainpower to help you!

                                  If you're interested, I'm available to discuss details of German-speaking paid support (for companies) if needed.

                                  mike69M 1 Reply Last reply Reply Quote 0
                                  • mike69M
                                    mike69 Rebel Alliance @JeGr
                                    last edited by

                                    @JeGr said in pfSense mit Telekom SIP-Trunk IP-Anlagenanschluss:

                                    @mike69 said in pfSense mit Telekom SIP-Trunk IP-Anlagenanschluss:

                                    Gehört zwar nicht zum Thema, aber dein "Erzählstil" treibt mir oft ein Schmunzeln ins Gesicht.

                                    Darf ja auch mal OT sein, aber danke das freut mich. Muss ja nicht immer alles bierernst sein 😃

                                    Wohl war.☺

                                    DG FTTH 400/200
                                    Supermicro A2SDi-4C-HLN4F with pfSense 2.7.2

                                    1 Reply Last reply Reply Quote 0
                                    • R
                                      ramup
                                      last edited by

                                      Zum einen eine kurze Rückmeldung und Bestätigung. SIP-Trunk ist geschaltet und funktioniert ohne besondere statische Portzuweisung. Die Anlage läuft verschlüsselt mit SIPs und SDES (Media Stream) zum Telekom SIP-Trunk.

                                      Ich habe noch versucht einen Traffic Shaper gemäß dieser Anleitung: Traffic Shapingeinzurichten, der mir "Floating Rules" erstellt hat, basierend auf dem SIP-Trunk Netz der Telekom als Alias mit dem Netzwerk 217.0.0.1 / 16.

                                      Aufgrund der Angabe der geringen Datenmenge in den Floating Rules habe ich jedoch das Gefühl, dass der Traffic Shaper nicht ordnungsgemäß funktioniert. Hat hier jemand eine bessere Anleitung?
                                      Die Verbindungen zu Telekom laufen über TCP Port 5061 für die konstante Verbindung zum Registrierungssserver und über die Ports 53 und diversen weiteren Ports für die UPD Verbindungen.
                                      Die Floating Rules sehen nur UPD Verkehr vor, damit könnte ich leben, aber ich habe das Gefühl, dass nicht alle UDP Pakete vom Shaper erfasst werden. Starte ich z.B. ein neues Gespräch verändern sich nicht die Datenwerte. Auch wenn man auf die Datenmenge klickt, dann werden keine aktiven States aufgelistet?

                                      1 Reply Last reply Reply Quote 0
                                      • T
                                        tpf
                                        last edited by tpf

                                        Habe heute umgestellt. Ohne static port kein Ton. Ist ein Telekom SIP Trunk. Kommuniziert auf TCP5061 und halt UDP10000-X

                                        Warum gehts beim einen nur mit static port und beim anderen nicht? Ich verstehe es nicht.

                                        10 years pfSense! 2006 - 2016

                                        1 Reply Last reply Reply Quote 0
                                        • nodauN
                                          nodau
                                          last edited by

                                          So, nach längerem Testen mit einer verschlüsselten Verbindung und regelmäßigen Neustarts der Anlage/ITSP, bin ich nun wieder zurück zur unverschlüsselten Übertragung.

                                          Fehlerbild: Ruf kommt an oder geht raus. Sprache wird aber nicht durchgereicht. Gespräch wird nach 10 Sekunden beendet. Neustart des ITSP half dann, ist aber keine Lösung. Also zurück zur Standardeinstellung:

                                          Transportsicherheit: traditional (udp or tcp)
                                          Mediensicherheit: RTP only
                                          

                                          Mal schauen, wie stabil VOIP jetzt läuft.

                                          Norman

                                          virtualized pfSense 2.7.2 HA-Cluster on vsphere 8

                                          1 Reply Last reply Reply Quote 0
                                          • S
                                            slu
                                            last edited by

                                            Ich hab an einem Standort über zwei Jahre den SIP Trunk mit SRTP betrieben, solche Probleme gab es da nicht.

                                            pfSense Gold subscription

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.