VoIP Telekom Umstellung

hackel · Sep 28, 2015, 9:00 AM

Hallo zusammen,

ich werde von der Telekom auf VoIP umgestellt. :-(
Derzeit bereibe ich meine ISDN Telefonie unabhängig vom Internet über eine Firtzbox (7490) und den internet S0-Bus.

Die Internet Einwahl erfolgt über eine Zyxcel Modem, welches vor der pfSense Firewall hängt.
Dahinter hängen an einem Switch die Clients.

Nach der Umstellunge wollte die Einwahl ebenfalls über das Zyxcel Modem erfolgen, danach die Firewall hängen und hinter der Firewall die Fritzbox.
An dem internet S0-Bus der Fritzbox sollen dann wieder die Telefone angeschlossen werden.

Ich habe hierzu auch einen Netzwerkplan angehängt.

Mir ist jedoch nicht klar, wie ich das ganze aufbauen muss.
Welche Ports muss ich öffnen?
Welche Ports muss ich forwarden?
Was muss ich sonst noch an der pfSense einstellen,freigeben?

Könnte mir hier jemand ein paar Tipps geben.

Vielen lieben Dank.

Grüße

flix87 · Sep 28, 2015, 9:31 AM

Schau mal hier da gab es vor Kurzem schon mal was:
https://forum.pfsense.org/index.php?topic=97642.0
https://doc.pfsense.org/index.php/VoIP_Configuration

Ansonsten ist es für Voip natürlich Unschön Firewall vor Firewall. Besser wäre es wenn die PfSense die Einwahl macht sorgt später für weniger Probleme

Forwarden ist schlecht das mag SIP nicht ;)
Was man am Zyxel einstellen muss weiß ich nicht kenne ich nicht. Daher besser ein Modem kaufen und die PfSense macht direkt die Einwahl.
Dann kann die Fritzbox auch ohne Probleme wieder den S0 bereitstellen

hackel · Sep 28, 2015, 9:35 AM

Hallo,

danke dir für die schnelle Antwort!
Dann habe ich es etwas ungenau beschrieben.
Die pfSense macht die Einwahl und hat auch eine offizelle IP.
Das Zyxcel ist nur das Einwahlmodem.

Gruß

flix87 · Sep 28, 2015, 9:57 AM

Ach so dann ist es ja gut :)
dann solltest du alles finden in den beiden Beiträgen die ich da oben geschrieben habe.
Wenn ich mich nicht täusche ist das genau das selbe Konstrukt

hackel · Sep 29, 2015, 8:57 AM

Hallo flix,

Bin mir noch nicht sicher, ob ich es 100%ig verstanden habe.

1. Schritt: Disable source port rewriting

_ Navigate to Firewall > NAT on the Outbound tab
Select Manual Outbound NAT rule generation (Advanced Outbound NAT (AON))
Click Save
Find the rule at the bottom of the page labeled "Auto created rule for LAN".
Click + at the end of that row to copy the rule.
Edit the rule so it only covers the source IP of the device that needs static port, and any other required settings.
Check Static Port box on that page
Click Save
Move the rule to the top of the list
Click Apply Changes
Navigate to Diagnostics > States
Enter the IP address of the device in the Filter box
Click Filter
Click Kill_

2. Schritt: Set Conservative state table optimization

Set Firewall Optimization Options to Conservative under System > Advanced, Firewall/NAT tab

3. Schritt: Disable scrub

Under: System > Advanced, Firewall/NAT tab

Ist das alles?
Abgesehen davon, dass die Firtzbox dann noch eingerichtet werden muss.

Du hast in einem Beitrag geschrieben, dass man folgendes einstellen soll:

_Interface: WAN (telekom)
Protocol: TCP/UDP
Source: 192.168.1.50/32
Destination: any
Dest.Port: blank for any
und dann den Hacken bei "static-Port" setzen.

So verhinderst du das die Ports nach extern verändert werden. Also intern 5060 kommt auch mit 5060 bei der Telekom an. Genauso die Ports für den RTP/Voice Stream_

Kommt das zusätzlich noch dazu?

Sorry für die vielen Fragen.
Hoffe du kannst mir weiter helfen :-)

Vielen Dank schon mal & Gruß

flix87 · Sep 29, 2015, 9:02 AM

Ist das alles?
Abgesehen davon, dass die Firtzbox dann noch eingerichtet werden muss.

Wenn ich es richtig im Kopf habe ja

Kommt das zusätzlich noch dazu?

Das steht oben auch schon

Edit the rule so it only covers the source IP of the device that needs static port, and any other required settings.

Steht da nur vielleicht etwas anders :) aber da ist das selbe mit gemeint
Geht einfach nur darum das nach extern wenn deine FritzBox mit port 5060 raus geht als Quell Port das dann auch beim Provider 5060 ankommt ansonsten wird es ja durch das NAT abgeändert.
Und wichtig ist das die Regel ganz oben steht und nur die IP der FritzBox als Quelle drin steht.

hackel · Oct 7, 2015, 6:28 PM

Sorry für meine dumme Frage, aber stimmen die Einstellungen jetzt so wie auf den Bilder oder muss ich sonst noch etwas ändern?

Vielen Dank für die Hilfe :-)

flix87 · Oct 12, 2015, 6:31 AM

Das sieht gut aus.
Einfach mal testen und schauen ob es geht :)

hackel · Oct 12, 2015, 10:55 AM

Hallo,

ich habe noch ein paar Probleme:

Vor der Umstellungen hatte ich 49,8 MBit/s im Download jetzt nur noch 31 MBit/s. Irgendeine Idee, was das sein kann?
Die Telefonie funktioniert manchmal nicht. Wenn ich versuche nach draußen zu wählen oder angerufen zu werden, ist die Leitung einfach tot (kein besetzt Zeichen oder etwas in der Art).

Irgendeine Idee, was das Problem sein könnte?

Danke und Gruß.

flix87 · Oct 12, 2015, 11:42 AM

Mit dem Download wüsste ich nicht was es damit zu tun haben soll.

Schau mal ob du irgendwie keep alive für SIP (NAT Keep Alive) einstellen kannst in der Fritz Box bei meinem IP Phone kann ich das nämlich. Das hällt die Firewall offen.

hackel · Oct 12, 2015, 12:00 PM

Alles klar, evtl. stimmt auch etwas bei der Telekom noch nicht.
Ich werde es dennoch testen. Danke! :)

flix87 · Oct 12, 2015, 12:27 PM

Alles klar, evtl. stimmt auch etwas bei der Telekom noch nicht.

Wegen der Downloadgeschwindigkeit vielleicht ja heißt ja immer bis zu ;)

Die Telefonie funktioniert manchmal nicht. Wenn ich versuche nach draußen zu wählen oder angerufen zu werden, ist die Leitung einfach tot (kein besetzt Zeichen oder etwas in der Art).

das meinte ich mit dem Keep Alive das ist eher etwas bei dir nicht bei der Telekom.
Wenn du langs nichts machst geht die Firewall wieder zu daher sollte man Keep Alive einstellen. Sollte auch gehen

Beispiel: FRITZ!Box - Aktivierung "NAT Keep alive"

Falls Sie unregelmässig eingehende Anrufe erhalten, kontrollieren Sie die Einstellungen Ihres Routers bezüglich "NAT Keep Alive". Am Beispiel der FRITZ!Box finden Sie dies unter ->Telefonie -> Internettelefonie -> Erweiterte Einstellungen. Sie müssen die "Portweiterleitung des Internet-Routers für Internettelefonie aktiv halten" aktivieren.

hackel · Oct 12, 2015, 1:00 PM

Beispiel: FRITZ!Box - Aktivierung "NAT Keep alive"

Danke für die genaue Beschreibung! :-)
Ich teste es heute Abend gleich.

hackel · Oct 12, 2015, 6:31 PM

Abend zusammen,

diese Einstellungen waren schon gesetzt.

![Screenshot from 2015-10-12 20:29:44.png](/public/imported_attachments/1/Screenshot from 2015-10-12 20:29:44.png)
![Screenshot from 2015-10-12 20:29:44.png_thumb](/public/imported_attachments/1/Screenshot from 2015-10-12 20:29:44.png_thumb)

flix87 · Oct 13, 2015, 6:12 AM

5 Minuten sind zu lange
Oben stellst du ja ein das die Firewall bei UDP 30 Sekunden offen bleiben soll.
Wie weit kannst du da denn runter gehen? Bei meinem Phone daheim habe ich 20 Sekunden eingestellt.
Du solltest unter den 30 Sekunden bleiben wenn möglich.
Die 30 Sekunden in der Firewall höhrer zu stellen macht das Ganze wieder etwas unsicherer daher schau mal was in der Fritz Box geht.

hackel · Oct 13, 2015, 6:22 AM

Morgen,

danke für den Tip.
Könntest du mir bitte kurz erklären was ich hier eigenltich genau einstelle bzw was es mit der Zeitdauert auf sich hat.

Danke :-)

flix87 · Oct 13, 2015, 8:02 AM

Die Firewall ist Dynamisch sprich wenn ein Paket raus geht lässt sie die Antwort auf dieses Paket automatisch zu.
Bei TCP Gibt es einen Anfang und ein Ende (Syn und Fin).
Bei UDP gibt es das nicht also macht die Firewall auf und wenn nach einer bestimmten Zeit (Bei dir in der PfSense 30 Sekunden) kein Paket mehr kommt macht sie wieder zu.
Mit dem Keep Alive in der Fritz Box kann man dafür sorgen das in einem bestimmten Abstand (bei dir in der Frit Box alle 5 Minuten) ein UDP Paket geschickt wird welches die Firewall offen hält.
Da bei dir alle 5 Minuten ein UDP Paket geschickt wird und die Firewall aber schon nach 30 Sekunden wieder zu macht, werden die ankommenden Pakete (z.B. eingehende Anruf) geblockt.
Daher solltest du in der Fritz Box nicht 5 Minuten einstellen sondern 30 Sekunden oder weniger.

hackel · Oct 13, 2015, 8:15 AM

Alles klar :-)
Habe es verstanden.
Many thanks ;-)

hackel · Oct 14, 2015, 6:02 AM

Ich habe jetzt die Zeit auf der Fritzbox auf 30 Sekunden gestellt (weiter runter kann man sie nicht stellen).
Dies gilt ebenfalls für die Firewall. Hier steht es auch auf 30 Sekunden.
Hoffe es wird jetzt besser.

Danke & Gruß

hackel · Oct 14, 2015, 8:32 AM

Leider besteht das Problem immer noch :-(
Hat jemand noch eine Idee, was man machen kann?