Telekom VoIP kann mit manchen Telekom VoIP Anschlüssen nicht telefonieren



  • Hi!

    Ich habe vor zwei Tagen von Vodafone zur Telekom gewechselt, VDSL2, 100/30 (sollte 100/40 sein, aber das ist ein anderes Thema). Eigentlich läuft auch alles, auch die Telefonie zu Handy- und Festnetzgegenstellen. Nur bei manchen (nicht allen!) Gegenstellen, die auch Telekom VoIP haben, gibt es ein Problem:

    • Rufe ich sie an, klingelt dort das Telefon. Wenn man dort rangeht, hört man nichts, und bei mir kommt weiter das Freizeichen, als ob niemand ranginge.
    • Werde ich von dem anderen Anschluss aus angerufen, passiert bei mir nichts. Die Fritzbox auf der anderen Seite (direkt, ohne pfSense dazwischen) meldet einen Fehler 504 ("Internettelefonie mir 0123456789@tel.t-online.de über tel.t-online.de war nicht erfolgreich. Ursache: Server Time-out (504)").

    An meinem Anschluss hängt ein Draytek Vigor 130, dahinter pfSense (2.4.2-p1), dahinter eine Fritzbox 7580. Dasselbe Setup hatte ich auch schon für Vodafone.

    Ich habe die Einstellungen aus dem HowTo vorgenommen, d.h.:

    • Firewall / NAT / Outbound steht auf Hybrid
    • Die entsprechende Regl habe ich erstellt:
      0_1531499611556_NAT-Outbound.png image url)
    • In den Anschlusseinstellungen der Fritzbox steht das Timeout auf 30s:
      0_1531499743977_Fritzbox-Anschlusseinstellungen.png
    • Die State-Timeouts unter System / Advanced / Firewall & NAT sind alle Standard (Felder leer)

    Außerdem habe ich noch die Tipps für VoIP aus der Netgate Documentation probiert:

    • System / Advanced / Firewall & NAT / Firewall Optimization Options steht auf "Conservative"
    • System / Advanced / Firewall & NAT / Disable Firewall Scrub ist AUS (kein Kreuz) - wenn ich diese Option aktiviere, kann ich nicht mehr telefonieren.
    • siproxd habe ich nicht installiert, ich habe ja nur eine Fritte hinter pfSense

    Und dann hatte ich hier noch im Forum gefunden, dass das Angerufenwerden von Telekom-Anschlüssen bei jemandem nur klappte, wenn er per port forward die 5060 auf die Fritte geleitet hat. Also habe ich auch das nochmal probiert:
    0_1531500445168_SIP-NAT.png

    Nichts davon hat das eingangs beschriebene Problem gelöst. Ich finde in meinem Firewall-Log auch keine Blocked-Meldungen, wenn ich die fraglichen Anschlüsse anrufen möchte oder von dort angerufen werden soll.

    Was könnte ich denn wohl nochmal testen?

    Vielen Dank!



  • Diese Konfiguration bzgl. Telefonie funktioniert bei mir ohne Probleme an einem "all-ip" Anschluß der Telekom.

    Modem (SP221) <-> pfSense <-> Fritzbox (IP-Client)

    • Outbound NAT wie folgt:

    0_1531506857593_sip_nat.png

    • Auf der Firewall sind keine Portweiterleitungen in Bezug auf IP-Telefonie eingerichtet. Die Fritzbox sorgt für die offenen Ports.


  • This post is deleted!


  • Ich habe hier fast die gleiche Konfiguration. Nur das meine Fritzbox älter ist.

    Ein Unterschied ist das ich noch Portweiterleitungen für 7078 - 7109 auf die Fritzbox habe. Als ich das damals eingerichtet habe war das noch notwendig. Inzwischen habe ich gelesen das man das nicht mehr braucht aber das wollte ich nicht ausprobieren. Ob das allerdings einen Unterschied bei Dir macht glaube ich nicht richtig



  • @hbauer
    Wie war das mit dem "disable scrub", von dem du in einem anderen Thread schriebst?
    https://forum.netgate.com/topic/114858/telekom-voip-von-manchen-anrufern-nicht-erreichbar



  • da habe ich kein Kreuz.



  • Mit "disable scrub" funktioniert die Telefonie gar nicht.
    Die "alten" zusätzlichen Port Forwards von @hbauer habe ich ausprobiert, das ändert leider nichts.
    Und auch ganz ohne Forward spezieller Ports, nur mit Outbound NAT, geht es nicht besser (oder schlechter)...

    Komisch.



  • Wie wäre es auf der Firewall mit Packet Capture die VOIP Kommunikation und dann z. B. mit Wireshark
    die Unterschiede zu klären? Hier scheint ein Problem mit SIP/RTP an der Gegenstelle (Fritzbox?) aufzutreten.

    Wie schon gesagt habe ich solche Probleme bisher nicht festgestellt und mußte meine ursprüngliche
    VOIP Konfiguration auf pfSense/Fritzbox noch nie ändern.



  • Bitte mal folgendes versuchen:
    Bei der Fritz!Box die Rufnummer bearbeiten und bei Telefonie-Anbieter "anderer Anbieter" auswählen.
    Es erscheinen neue Felder, das Feld "STUN-Server" leeren und speichern.



  • STUN-Server leeren führt zu keinem anderen Ergebnis.

    Ich habe nun mal tcpdump auf der pfSense laufen lassen, Port 5060. Vielleicht gibt das jemandem einen Hinweis, wo das Problem liegen könnte?
    Ich habe TCPDUMP unmittelbar vor den Anrufversuchen gestartet und diese dann nach ein paar Sekunden jeweils wieder abgebrochen. Ergebnisse:

    Eingehender Anruf erfolgreich:
    0_1531583767085_Answer.png

    Eingehender Anruf nicht erfolgreich:
    0_1531583788334_No Answer.png

    Wenn man mich fragt, kommt hier beim zweiten Anrufversuch nur ... Datenmüll? (fragmented IP protocol) an, das scheint nicht erkennbar was mit SIP zu tun zu haben. Die Pakete kommen auch nur bei solchen fehlgeschlagenen Anrufen. Wenn nichts passiert, habe ich nur "binding response" und hin und wieder 36 Byte Pakete von 5060 hier zu 5060 beim Telekom-Server (oder vice versa).



  • Die entfernte Fritzbox (es soll ja eine im Spiel sein) auf Werkseinstellungen rücksetzen und
    die gesicherte Konfiguration aufspielen. Danach ist man möglicherweise schlauer.



  • Also wenn das der Mitschnitt auf der pfsense zwischen pfsense und Telekom ist dann würde vermuten das die dahinterliegende Fritzbox noch garnicht im Spiel ist wenn diese fragmentierten Pakete ankommen. Ist aber nur eine Vermutung.

    Vielleicht liegt das Problem auf dem Draytek Router

    https://www.heise.de/forum/heise-online/News-Kommentare/VDSL-Router-fuer-PC-Einbau-mit-Modem-Option/Draytek-Router-nicht-fuer-VOIP-geeignet/posting-28797585/show/

    vielleicht die mtu size? https://www.youtube.com/watch?v=6Whbg_KnumM



  • Man könnte auch an der Firmware des (Version Modem x) Vigor 130 schrauben. Was ist denn jetzt drauf?
    Braucht VDSL100 eine andere als die jetzt verwendete?

    Da ich weder VDSL100 noch einen Vigor 130 im Einsatz habe, kann ich nur im Nebel stochern.
    Andererseits wird es die oben genannte Kombination wohl noch öfter geben und es meldet
    sich mal ein kompetenter Anwender zu Wort.

    Ich bin hier raus.
    LG



  • Zunächst einmal vielen Dank für Eure Hilfe und Euer Mitdenken!!!

    @Gladius: Da die entfernte Fritzbox bei Anrufversuchen hier sogar eine Fehlermeldung bekommt (s.o.), habe ich die Anschlussinhaber mal gebeten, die bei Auftreten dieses Fehlers von AVM empfohlenen Schritte zur Problemlösung zu befolgen. Wobei es schon komisch wäre, wenn es an der entfernten Fritzbox läge, da ich dort zu Vodafone-Zeiten problemlos anrufen konnte.

    Anderereits: Wenn die Fritzbox auf der anderen Seite nicht läuft, wird eine Telefonverbindung zur zugehörigen Sprachbox der Telekom problemlos aufgebaut.

    @hbauer: Dass es am Vigor liegt, glaube ich nicht. In dem heise-Artikel steht u.a.

    So lange sich an dem Verhalten nichts ändert, kann man Draytek Router für VOIP nicht empfehlen. Das gilt aber nur, wenn sie als Router betrieben werden. Wenn sie als Modem konfiguriert sind, sind sie eher nicht daran Schuld, wenn es Probleme mit VOIP gibt.
    

    Und das Vigor läuft hier ja als Modem, MTU 1492.

    Ich habe an Firmwares für das Vigor versucht die 3.83 (aktuell) Modem 7 (läuft, allerdings zeigt das Vigor bei den DSL Diagnostics dort als Path-Mode "Interleave" an:

    0_1531641589916_383-Modem7.png

    Mit der 3.83 Modem8 Firmware (wie hier empfohlen) gibt es den Path-Mode Fast:

    0_1531641694575_383-Modem8.png

    Auch die 3.8.1.2 Modem7 habe ich versucht. Die bietet im Downstream den Path-Mode Fast, im Upstream Interleaved.

    Telefontechnisch macht das alles keinen Unterschied.



  • Hallo,

    meine Vermutung: der Port 5060 ist von Außen nicht erreichbar bzw. wird nicht auf die Fritz!Box weitergeleitet.
    Daher funktioniert das Anrufen, aber nicht das angerufen werden.

    Zum Testen: https://www.sinologic.net/proyectos/checkSecurity/



  • Die Website verstehe ich nicht. Soll ich da meine IP eintragen? Mit der funktioniert es nicht, die Website sagt "Nothing has been received (CLOSED PORT OR SIP SERVER DON'T AVAILABLE?)".

    Allerdings nochmal zur Vermeidung von Missverständnissen: Die allermeisten Anschlüsse kann ich anrufen, und ich kann von denen auch angerufen werden. Es sind nur (sehr) wenige Anschlüsse, bei denen es nicht klappt. Vorher, mit Vodafone, klappte es überall.

    Nachtrag: Dieser Test sagt, dass Port 5060 TCP geschlossen, UDP aber "open/filtered" sei.



  • Ok, das Problem ist die MTU size, und zwar konkret und ausschließlich die in der pfSense eingestellte MTU size.

    Das Setup hier sieht so aus:

    Modem -(1)-> pfSense -(2)-> Switch -(3)-> Switch -(4)-> Fritzbox

    (1) ist 1GBit Ethernet, MTU 1492 (pfSense: WAN)
    (2) ist 20GBit Ethernet (2x 10GBase-T LAGG), MTU 9000 (pfSense: LAN)
    (3) ist 10GBit Ethernet (1x 10GBase-T), Jumbo Frames enabled auf beiden Switches
    (4) ist 1GBase-T

    Wenn ich (2) auf MTU 1492 ändere, sind die sporadischen Probleme mit einigen Gegenstellen weg. Dafür habe ich im LAN keine Jumbo Frames mehr.

    Ich habe versucht, die Fritte in ein separates VLAN zu stecken und für das separate VLAN eine kleinere MTU size anzugeben. Das klappt zwar in der pfSense GUI, ifconfig auf der Konsole zeigt aber, dass dennoch für das VLAN dieselbe MTU wie für die physikalische Schnittstelle verwendet wird.

    Ich mache wg. der MTU size im VLAN mal einen neuen, englischen Thread auf.



  • @highc nimm mal die Modem 4, da sollte auch der upstream höher sein.
    Gruß
    pfadmin



  • Ich teste gerade mal Modem4. Soweit sieht das nicht nach deutlich schnellerem Upstream aus:

    3.8.1.2 Modem7:
    0_1534507065601_2018-08-17 13_46_13-Window.png

    3.8.3 Modem 4:
    0_1534507136074_2018-08-17 13_58_20-Window.png

    Übrigens hat auch hier eine testweise angeschlossene Fritzbox nur 30 Mbps Upstream gebracht.

    Mal schauen, wie die Verbindungsstabilität mit der Modem 4 Firmware so ist.



  • Fastpath ist jetzt wieder aktiv...



  • Hallo zusammen,

    ich würde das Thema gerne noch mal aufgreifen. Ich kämpfe auch seit einer Woche mit TELEKOM ALL-IP VDSL 50 Anschluss mit folgendem Aufbau:

    DRAYTEK VIGOR 130 (Modem 7) > PFSENSE (aktuell FW) ->FritzBox (aktuelle FW / Nur Telefonie)

    Wenn ich die im Internet gefundenen Anleitungen mir durchlese sind diese mehr als widersprüchlich (NAT ja oder nein ? / Scrub ja oder nein).

    Wenn ich mir die Firewall LOGS anschaue und die Telekom VOIP Server (verschiedene IP´s) über den UDP Port 5060 kommen und direkt an die WAN Adresse der Pfsense anklopfen (dyn. Ports) muss meiner Meinung nach ein NAT erfolgen. Dabei spielt es doch meiner Meinung nach keine Rolle ob die FritzBox diese über die Outbound regel offen hält, wenn die VOIP Telekom Server mit verschiedenen IP´s anklopfen.

    Eine Vollständige Erklärung mit einer funktionierenden Konfig habe ich leider noch nicht gefunden.

    Die einzige Konfig die bei mir funktioniert (mir aber auch gleichzeitig Kopfweh bereitet ist diese) (Scrub ist aus)

    0_1535485360400_Firewall_VOIP NAT.JPG

    0_1535485396845_Firewall_Outbound.JPG

    0_1535485582023_Firewall_Mappings.JPG

    Ohne diese NAT Regel kann ich keinen Ton auf beiden Seiten hören.

    Hier das Firewall Protokoll wenn ich das Telefon annehme (kein Ton).

    0_1535487483194_VOIP Firewall.JPG

    Das ist denke ich nicht die richtige Lösung oder ?

    Für Anregungen wäre ich dankbar.



  • Hast Du denn die in meinen Screenshots und meiner Beschreibung abgebildete Config ausprobiert? Die funktioniert so hier mittlerweile.



  • Ja habe ich, sieht aber so aus das das mit Telekom nicht funktioniert. Wie geschrieben ohne NAT klingelt das Telefon, wenn ich abhebe kommt kein Ton (siehe Firewall Log, alle anderen Ports werden blockiert).

    Ach ja, habe in einem Telekom Forum die Info gelesen Link TELEKOM, dass die VOIP Server aus dem IP Adressenband 217.0.0.0/32 kommen. Somit kann ich zumindest die IP (Source) eingrenzen.



  • Deine Outbound NAT Regel für die Fritzbox greift ja so auch gar nicht, aus der Anleitung: https://www.netgate.com/docs/pfsense/nat/static-port.html

    Rules are processed from the top down and the first match is used. If the rule is below any other rule that can match the same traffic, then the new rule would never be used.

    Und warum hast die automatischen Regeln überhaupt nochmal zu den Mappings hinzugefügt, im Hybrid Modus werden die doch von der pfSense selbst verwaltet. Also bitte nochmal gründlich die Anleitung, oder noch besser das pfSense Buch, lesen.



  • @blackhawk76 said in Telekom VoIP kann mit manchen Telekom VoIP Anschlüssen nicht telefonieren:

    Ich kämpfe auch seit einer Woche mit TELEKOM ALL-IP VDSL 50 Anschluss mit folgendem Aufbau:

    Es sind keine Portweiterleitungen für VOIP an einem Anschluß der Telekom erforderlich
    wenn eine Fritzbox hinter pfSense im Client-Modus für VOIP genutzt wird.

    Man beachte die Option "Static Port" bei Outbound NAT.

    0_1535493222768_voip.png

    In der Fritzbox ist auch kein STUN erforderlich. Es reichen Registrar "tel.t-online.de" und
    Portweiterleitung aktiv halten alle "1 Min".

    Diese Konfiguration lief seit Monaten bei mir problemlos mit VDSL50. Habe jetzt VDSL100 und
    auch damit keine Probleme mit Fritzbox für VOIP.

    LG



  • Die Outbound Regel habe ich in der Zwischenzeit nach oben verlagert (nach meinem Post). Leider ging aus das nicht.
    Die automatischen Regeln (wie der Name beschreibt - wurden von der Pfsense dort hinterlegt).

    Static Port habe ich aktiviert, die FritzBox ist im Client-Modus:
    0_1535494322357_FritzBox1_1.JPG

    0_1535494334941_FritzBox1_2.JPG

    0_1535494353733_FritzBox1_3.JPG

    0_1535494372111_FritzBox2.JPG

    Als VDSL Interface hast Du die WAN Adresse ? Wo befindet sich die Option in der FrtzBox "regristrar", habe hier als Anbieter "TELEKOM" ausgewählt.



  • @blackhawk76 said in Telekom VoIP kann mit manchen Telekom VoIP Anschlüssen nicht telefonieren:

    Als VDSL Interface hast Du die WAN Adresse ?

    Logo.

    @blackhawk76 said in Telekom VoIP kann mit manchen Telekom VoIP Anschlüssen nicht telefonieren:

    Wo befindet sich die Option in der FrtzBox "regristrar", habe hier als Anbieter "TELEKOM" ausgewählt.

    Ich habe eine alte Fritzbox (7170) im Einsatz. Die reicht für VOIP und da kann man das einstellen.
    Keine Ahnung was man in moderneren Modellen noch eingeben kann.

    LG



  • Oh mein Gott, habe in der FritzBox unter Telefonie->Eigene Rufnummer die Rufnummer bearbeitet und dort als Anbieter "anderer Anbieter" gewählt. Dort steht dann ein STUN Server drin, der entfernt werden muss.

    Benutzername: +49telnummer
    Kennwort: ->leer lassen<-
    Registrar: tel.t-online.de
    Proxy Server: ->leer lassen<-
    STUN Server: ->leer lassen<-

    Den Rest der Einstellungen habe ich gelassen. Siehe da es geht auch ohne "NAT - Portforwarding"



  • Nach dem jetzt alles soweit funktioniert, ist mir aufgefallen das jetzt die ankommende Rufnummer mit 49 (ohne +) auf dem Telefon angezeigt wird.

    Hmmm, ist merkwürdig, leider zeigt das Telefon dann nicht mehr den Namen des Anrufers an (im Telefonbuch hinterlegt).

    Gibt es dazu schon eine Lösung ?



  • @blackhawk76 said in Telekom VoIP kann mit manchen Telekom VoIP Anschlüssen nicht telefonieren:

    Siehe da es geht auch ohne "NAT - Portforwarding"

    Zumindest an einem Anschluß der Telekom. Ob diese Lösung auch z. B. mit 1&1 funktioniert kann ich
    nicht beurteilen.

    LG



  • @blackhawk76 said in Telekom VoIP kann mit manchen Telekom VoIP Anschlüssen nicht telefonieren:

    Die automatischen Regeln (wie der Name beschreibt - wurden von der Pfsense dort hinterlegt).

    Höchstens wenn du sinnlos zwischen Manual und Hybrid hin und her geschaltet hast. Im Hybrid Modus gehören sie da nicht hin.



  • Umgeschaltet habe ich (sinnlos weniger eher zum Testen). Besser löschen ?



  • @blackhawk76 said in Telekom VoIP kann mit manchen Telekom VoIP Anschlüssen nicht telefonieren:

    Umgeschaltet habe ich (sinnlos weniger eher zum Testen). Besser löschen ?

    Ja, ansonsten sorgen die dafür das die echten automatischen Regeln nicht mehr berücksichtigt werden. Das kann zu Problemen führen wenn du was am Netzwerk änderst. Hier im Forum gab es schon genug Fälle wo sich zum Schluß rausgestellt hat das es an fehlerhaften Regeln fürs Outbound NAT hing.



  • Ok, super, danke für den Hinweis. Sollte ich die Lösung für die vorangestellte 49 finden, ergänze ich den Post.

    Vielen Dank für die Hilfe und eine angenehme Nachtruhe.



  • Also das mit der eingehenden Rufnummer ohne "+" kann durch die Telefonieeinstellung Anbieter = TELEKOM (nicht anderer Anbieter) und Standardeinstellungen behoben werden. Zwar stehen dann wieder STUN Server drin aber die Telefonie funktioniert einwandfrei.

    !WICHTIG! ist wirklich nur die passende Outbound NAT Regel (in der Liste ganz oben platzieren). Des Weiteren die Pfsense auf Hybrid NAT Mode belassen.

    Vielen Dank noch mal für die geniale Hilfestellung 💪



  • Die Anzeige der Rufnummer ist von Anbieter zu Anbieter unterschiedlich und wird in der Fritzbox korrigiert, wenn du dort auch Telekom hinterlegst. Bei "anderm Anbieter" passiert das nicht bzw. du mußt das manuell machen. im ip-phone-forum ist da einiges zu finden.

    Gruß
    pfadmin