Lancom 1821 und FritzBox 7270 für VOIP

[friese]

Hallo miteinander,

ich verwende einen Lancom 1821 für meinen DSL-Anschluss und
möchte zudem eine FritzBox 7270 mit angebundenem DECT-Telefon
für VOIP verwenden.

Das Setup ist wie folgt:
1. Der Lancom hängt am DSL-Anschluss, Internetzugang funktioniert.
2. Die FritzBox hängt mit ihrem LAN1-Port am Lancom und ist als IP-Client
so konfiguriert, dass sie über den Lancom ins Internet findet.
3. Die Ports 5004, 5060 und 10000 UDP eingehend sind in der
Lancom-Firewall geöffnet, und ein entsprechendes Portforwarding auf
die Fritzbox ist eingerichtet.

Das Problem ist, dass die Fritzbox sich nicht korrekt bei Sipgate anmeldet,
so dass man nicht telefonieren kann ("Gegenstelle antwortet nicht. Zeitüberschreitung").
Selbst wenn ich allen Netzwerkverkehr von und zur
Fritzbox im Lancom freischalte, funktioniert es nicht. Zudem bekomme ich
auch von der Lancom-Firewall keine Infos über Firewall-Regeln, die durch
die Fritzbox verletzt werden, so dass ich nicht sehen kann, woher genau
die Probleme kommen.

Sobald ich aber im Lancom Firewall und QoS deaktiviere, funktioniert die
Internet-Telefonie der Fritzbox.
Ich kann mir das nicht erklären, möchte aber natürlich auch nicht mit
abgeschalteter Firewall arbeiten.
Ich habe heute fast 6 Stunden daran herumgedoktort und würde mich freuen, wenn jemand von Euch eine Idee hätte.


Viele Grüße,
Christian

[backslash]

Hi friese

3. Die Ports 5004, 5060 und 10000 UDP eingehend sind in der
Lancom-Firewall geöffnet,

(...)

Sobald ich aber im Lancom Firewall und QoS deaktiviere, funktioniert die
Internet-Telefonie der Fritzbox.

das deutet aber auf eine fehlerhafte Firewallregel hin, so daß sie nicht auf die VoIP-Pakete greift und diese in die Deny-all-Regel laufen. Wenn deine Portangaben stimmen würden, dann müßte die Regel so lauten:

Code: Alles auswählen

Name:      ALLOW-VOIP
Aktion:    übertragen
Quelle:    alle Stationen
Ziel:      IP der Fritzbox
Dienste:   UDP, Zielports 5060, 5004, 10000

Nur wundert es mich ehrlich gesagt, daß die VoIP-Daten über den Port 10000 laufen sollen. Ich würde eher vermuten, daß die Fritzbox den Port 10000 für STUN verwendet. In diesem Fall mußt du zusätzlich eine Regel anlegen, die es der Fritzbox abgehend erlaubt auf den Port 10000 zuzugreifen:

Code: Alles auswählen

Name:      ALLOW-STUN
Aktion:    übertragen
Quelle:    IP der Fritzbox
Ziel:      alle Stationen (oder IP des STUN-Servers, den die Box nutzt)
Dienste:   UDP, Zielport 10000

Dann kannst du i.Ü. auch das Portforwarding für den Port 10000 auch wieder herausnehmen. Das gleiche gilt dann auch für den Port 5004, denn wenn die Fritzbox STUN macht, mußt du keinen Port für die RTP-Daten forwarden, der benötigte Port wird wird über das STUN geöffnet.

Jetzt hast du nun nur noch das Problem, daß die Fritzbox den RTP-Strom startet und du leider nicht weißt, an welcher IP und welchem Port dieser beim anderen Telefon endet. Also mußt du für die Fritzbox letztendlich abgehend alle UDP-Ports zu allen Adressen erlauben:

Code: Alles auswählen

Name:      ALLOW-VOIP
Aktion:    übertragen
Quelle:    IP der Fritzbox
Ziel:      alle Stationen
Dienste:   UDP, alle Ports

Und als letztes solltes du die RTP-Daten auch noch priorisieren. Damit nicht die reine Signalisierungsverbindung und die STUN-Session unnötig Bandbreite belegen, mußt du diese von der Priorisierung ausnehmen. Letztendlich brauchst du folgende Firewallregeln:

Code: Alles auswählen

Name:      ALLOW-SIP-INCOMING
Aktion:    übertragen
Quelle:    alle Stationen
Ziel:      IP der Fritzbox
Dienste:   UDP, Zielports 5060

Name:      ALLOW-SIP-OUTGOING
Aktion:    übertragen
Quelle:    IP der Fritzbox 
Ziel:      alle Stationen
Dienste:   UDP, Zielports 5060

Name:      ALLOW-STUN
Aktion:    übertragen
Quelle:    IP der Fritzbox
Ziel:      alle Stationen (oder IP des STUN-Servers, den die Box nutzt)
Dienste:   UDP, Zielport 10000

Name:      ALLOW-RTP
Aktion:    übertragen
QoS:       Mindestbandbreite 80 kBit/s
Quelle:    IP der Fritzbox
Ziel:      alle Stationen
Dienste:   UDP, alle Ports

und ein Portforwarding für den Port 5060 auf die Fritzbox. Diesse könntest du dir aber auch zusammen mit der ALLOW-SIP-INCOMING Regel sparen, wenn du die Fritzbox dazu bewegen kannst, ihre Registrierung beim Provider in weniger als 20 Sekunden zu wiederholen (Timeout für UDP-Sessions in der Firewall/Maskierung), denn dann wird auch für einkommende Signalisierungen die ausgehende Session verwendet

Gruß
Backslash

[Jirka]

Hallo zusammen,

Nur wundert es mich ehrlich gesagt, daß die VoIP-Daten über den Port 10000 laufen sollen. Ich würde eher vermuten, daß die Fritzbox den Port 10000 für STUN verwendet.

Genau. Oben war von sipgate die Rede und sipgates STUN ist stun.sipgate.net:10000

Viele Grüße,
Jirka

[Gerhard]

Hallo friese,

ich zieh jetzt wohl den Zorn aller eingefleischten Lancom-Anwender auf mich (ich war auch mal einer), aber:

Hast du mal drüber nachgedacht, die Fritzbox 7270 einfach *vor* den Lancom 1821 zu hängen?

Ich hab das jetzt schon seit einiger Zeit so und bin sehr zufrieden damit. Mein 1811 ist nur noch DHCP- und DNS-Server (DNS-Weiterleitung an die Fritzbox), da die FB hier noch deutliche Schwächen hat. Den Rest der von mir benötigten Funktionalitäten deckt auch die Fritzbox ab. Das Ganze ist wesentlich einfacher zu handhaben, als jedes Mal wieder mit Portweiterleitungen etc. kämpfen zu müssen.

Gruß
Gerhard