Lancom, Swyx, VPN und TCP-Timeouts

[SteffenK]

Hallo zusammen,

ich habe ein Problem mit unserer Swyx und dem Lancom VPN-Tunnel bzw. der Firewall, dessen Ursache mir klar ist, leider finde ich nur die richtige Stellschraube in der LANCOM- Konfiguration nicht. Swyx schreibt in einem KB-Artikel:

Ursache:
Firewalls verwenden in den meisten Fällen einen TCP-Timeout und/oder "stateful inspection" zur Überwachung der Sessions. Da bei der Anmeldung der Clients (IP-phone, SwixIt!, abgesetztes Gateway) die Aushandlung der verwendeten RTP-Ports nur einmalig erfolgt, wird nach Ablauf des TCP-Timeouts in der Firewall kein Mediastreaming mehr möglich sein, da unter den ursprünglich registrierten Ports keine IP-Verbindung mehr besteht.

Lösung:
Den Wert des TCP-Timeouts (je nach Firewall unterschiedlich) auf einen Wert setzen, der gross genug ist, um während des Ruhezustandes der Clients (es werden keine Telefonate geführt) für eine Aufrechterhaltung der TCP-Session zu sorgen.

Kann mir jemand helfen und sagen, WO ich diese Einstellung im LANCOM vornehme?

Danke und Gruß

Steffen

[backslash]

Hi SteffenK,

das ist etwas "versteckt" unter IP-Router -> Maskierung -> TCP-Aging. Default sind 5 Minuten (= 300 Sekunden).

BTW: Der Grund, weshalb es für Maskierung und Firewall keine unterschiedlichen Timeouts gibt, sollte auf der Hand liegen...

Gruß
Backslash

[SteffenK]

Hab ich dort glatt übersehen.... Super, vielen Dank!

[SteffenK]

Ich muss doch noch einmal eine Frage nachschießen. Gibt es eine Empfehlung für die maximale Größe des Eintrags TCP-Aging? Die maximale Größe beträgt wohl ca 65.000 Sekunden, dies sorgt allerdings dafür, dass der Router irgendwann die ordentliche Arbeit verweigert, wie ich feststellen durfte. Nur: nutze ich z.B. 7000 Sekunden, so führt dies im Ergebnis dazu, dass die Leitung über Nacht "tot" läuft, sprich: am nächsten Morgen ist kein Mediastreaming (Telefonat) möglich. Hat jemand eine Idee, wie ich das umgehen kann?

Danke

Steffen

[Dr.Einstein]

Hallo Steffen,

ja, nämlich in der Anwendung ein Keep Alive einstellen. Habe schon ewig keine Software mehr gesehen, die nach 60 Minuten immer noch kein Datenpaket schickt und sich dabei noch als angemeldet betrachtet. Aus meiner Sicht unrealistische/stümperhafte Programmierung.

Umso höher du die Timer machst, desto voller wird die Lancom Tabelle für TCP Verbindungen, die nicht sauber geschlossen wurden.

Gruß Dr.Einstein

[Thomber]

Hi Steffen,

genau dieses Problem hatten wir auch und ich bin ebenfalls über den von dir zitierten KB-Eintrag bei Swyx gestoßen. Ich verstehe den Eintrag genau wie du: Problem ist, dass die IP-Telefone keinerlei "Keep-Alive" senden. Ich habe aber festgestellt, dass es der von dir zitierte Wert "7000 Sekunden" (irgendeine im Netz taucht der tatsächlich als "Optimalwert" auf, darüber bin ich auch gestolpert) tut. Klar, damit überbrückst du eigentlich keine Nacht, es scheint mir aber fast so, als würde da entgegen des KB-Eintrags doch ein Keep-Alive gesendet werden. Die Abstände habe ich allerdings nicht herausgefunden, da gab es wie gesagt keinen Grund zu, da das Netz bei uns mit dem Wert "7.000" läuft.

Gruß
Thomber

//EDIT 23.1.17:

Bei uns häufen sich nun auch die Probleme, 7.000 scheint als Wert doch nicht so optimal wie gedacht.... Auch ich suche also weiter nach einer Lösung