[Problem] Fritzbox 7590 über pjsip TLS an Asterisk abgehend 401

[dora71]

Hallo Forum,

ich versuche, wie im Titel beschrieben, eine Fritzbox als IP Telefonie Client an meinen Asterisk zu bekommen, und zwar über PJSIP und möglichst verschlüsselt (TLS und SDES).
Ich bin soweit, dass ankommende Anrufe funktionieren, allerdings bekomme ich vom Asterisk trotz erfolgreicher Registrierung im Log ein 401 (unauthorized).

Hatte jemand so etwas schon einmal und konnte es beseitigen, oder ist es schlicht nicht möglich, verschlüsselte Telefonate aufzubauen? Wenn ich die Gesprächsverschlüsselung rausnehme, ändert sich leider nichts.

Hier das dazu passende Log des Asterisk Servers, auf der Fritzbox erscheint lediglich ein Fehler "408" (Timeout). Was mir auch komisch vorkommt, dass kein G722 (HD-Voice) angeboten wird. Das wäre mir aber noch egal.

<--- Received SIP request (1314 bytes) from TLS:192.168.23.204:45921 --->
INVITE sip:[email protected]:5088;transport=tls SIP/2.0
Via: SIP/2.0/TLS 192.168.23.204:45921;branch=z9hG4bK89F8BF57CD0C2BBF;alias
Route: <sip:example.com:5088;lr>
From: <sip:[email protected]>;tag=4B8D34DEF69E74A7
To: <sip:[email protected]:5088>
Call-ID: [email protected]
CSeq: 5 INVITE
Contact: <sip:[email protected]:45921;uniq=42AC63D0363A32A4BA5453BEBEF9A2D;transport=tls>
P-Preferred-Identity: <sip:[email protected]>
Max-Forwards: 70
Expires: 120
P-Early-Media: supported
User-Agent: AVM FRITZ!Box 7590 154.07.57 (Sep  2 2023)
Supported: 100rel,replaces
Allow-Events: telephone-event,refer
Allow: INVITE,ACK,OPTIONS,CANCEL,BYE,UPDATE,PRACK,INFO,SUBSCRIBE,NOTIFY,REFER,MESSAGE,PUBLISH
Content-Type: application/sdp
Accept: application/sdp, multipart/mixed
Accept-Encoding: identity
Content-Length:   433

v=0
o=user 5842864 5842864 IN IP4 192.168.23.204
s=call
c=IN IP4 192.168.23.204
t=0 0
m=audio 7078 RTP/AVP 9 8 0 2 102 100 99 101 97 120 121
a=sendrecv
a=rtpmap:2 G726-32/8000
a=rtpmap:102 G726-32/8000
a=rtpmap:100 G726-40/8000
a=rtpmap:99 G726-24/8000
a=rtpmap:101 telephone-event/8000
a=fmtp:101 0-15
a=rtpmap:97 iLBC/8000
a=fmtp:97 mode=30
a=rtpmap:120 PCMA/16000
a=rtpmap:121 PCMU/16000
a=rtcp:7079
a=ptime:20

<--- Transmitting SIP response (510 bytes) to TLS:192.168.23.204:45921 --->
SIP/2.0 401 Unauthorized
Via: SIP/2.0/TLS 192.168.23.204:45921;rport=45921;received=192.168.23.204;branch=z9hG4bK89F8BF57CD0C2BBF;alias
Call-ID: [email protected]
From: <sip:[email protected]>;tag=4B8D34DEF69E74A7
To: <sip:[email protected]>;tag=z9hG4bK89F8BF57CD0C2BBF
CSeq: 5 INVITE
WWW-Authenticate: Digest realm="asterisk",nonce="1703165400/fd6b88e0db265b3ebb62c8c026901e69",opaque="3def6e387fd3dc0e",algorithm=MD5,qop="auth"
Server: meinprivtelnetz
Content-Length:  0


<--- Received SIP request (430 bytes) from TLS:192.168.23.204:45921 --->
ACK sip:[email protected]:5088;transport=tls SIP/2.0
Via: SIP/2.0/TLS 192.168.23.204:45921;branch=z9hG4bK89F8BF57CD0C2BBF;alias
Route: <sip:example.com:5088;lr>
From: <sip:[email protected]>;tag=4B8D34DEF69E74A7
To: <sip:[email protected]>;tag=z9hG4bK89F8BF57CD0C2BBF
Call-ID: [email protected]
CSeq: 5 ACK
User-Agent: AVM FRITZ!Box 7590 154.07.57 (Sep  2 2023)
Content-Length: 0

Ich meine, mich schwach erinnern zu können, dass irgendwelche Anmeldungseinstellungen in der Fritzbox angepasst werden müssten, da ich aber gefühlt schon alles eingestellt habe, hoffe ich über das Forum hier auf Hilfe.

Sollte noch etwas fehlen, gerne melden.

Gruß und schon mal vorab: Frohe Festtage.

Rainer

 

[koyaanisqatsi]

Moin


Auch unter PJSIP ist 401 notwendig für die Authentifizierung.
Die Extension (Asteriskseitig, 6051) muss das nonce danach (2. Invite/Register) richtig beantworten.
Authentifiziert sich die Extension beim 1. Invite/Register mit richtigen nonce, dann gibt es auch kein 401.
Siehe im 401 den SIP Header: WWW-Authenticate:

 

[dora71]

Vollzitat gemäß Boardregeln https://www.ip-phone-forum.de/threads/ip-phone-forum-regeln.297224/ entfernt by stoney

Hallo koyaanisqatsi, vielen Dank für Deine schnelle Antwort.

Wenn ich die richtig verstehe, siehst Du den Fehler in der Konfiguration des endpoints 6051 im Asterisk, richtig?
Dann bleiben für mich aber noch mehrere Fragen offen:
1. Wieso funktioniert die gleiche Konfig, wenn UDP unverschlüsselt als Transport eingestellt ist anstatt TLS bzw. TLS mit SDES? Die Authentification müsste doch SIP-technisch die gleiche sein, oder nicht?!?
2. Wieso funktioniert die gleiche Konfig bei einem mobilen Client wie z. B. SessionTalk oder sipnetic auf Android?
3. Wie beeinflusse ich die nonce (sowohl beim Asterisk als auch auf der Fritzbox, da ich denke, dass der Fehler dort zu suchen ist)

 

[sonyKatze]

Bei SIP-over-TLS muss der Transport erhalten bleiben, also die TCP-Verbindung darf nicht geschlossen werden. Hier mal in Wireshark schauen, nicht dass irgendwer die TCP-Verbindung kappt. Auch testen einige User-Agents-Clients den Inhalt der Nachrichten strenger als andere. In Deinem Protokoll-Abschnitt wird mir nicht klar, was genau dieses „example.com“ auf Port „5088“ sein soll. Dort sollte eigentlich ebenfalls IP-Adressen stehen – und auch der richtige aktuelle TCP-Port.

irgendwelche Anmeldungseinstellungen in der Fritzbox angepasst

In der FRITZ!Box musste ich unter „Rufnummer für die Anmeldung“ und „Benutzername“ etwas eintragen und zwar das Gleiche. Du musst dort übrigens keine Rufnummer hinterlegen. Das ist lediglich der Anmeldename. Die Rufnummer kennt allein der Asterisk.

kein G722 (HD-Voice) angeboten

m=audio 7078 RTP/AVP 9 bedeutet G.722.
8 ist PCMA,
0 ist PCMU.
Dass Du auch eine a=rtpmap bekommst, ist optional.

 

[dora71]

Guten Morgen Forum, guten Morgen sonyKatze,

erst einmal allen ein frohes neues Jahr 2024 und vielen Dank an sonyKatze für die Erklärungen der Codec-Kürzel. Die kannte ich bis dato nicht.

In Deinem Protokoll-Abschnitt wird mir nicht klar, was genau dieses „example.com“ auf Port „5088“ sein soll.

Das ist die Adresse meines Asterisk und der Port, auf dem TLS-VoIP-Verbindungen vom Asterisk angenommen werden.

 

[sonyKatze]

Bedeutet das dann, dass Dein Asterisk und FRITZ!Box nicht lokal sondern eigentlich über das Internet miteinander reden? Aber beide stehen im selben Subnetz/Heimnetz?

 

[dora71]

Die Wahrheit liegt dazwischen
FritzBox und Asterisk sind im gleichen Heimnetz und kommunizieren auch dort untereinander, bekommen aber über einen internen DNS die "externe" Namensauflösung (erforderlich für das verwendete Zertifikat), so dass ich im Heimnetz und von extern den gleichen Namen verwenden kann.

 

[sonyKatze]

Puh. FRITZ!OS ist sehr wählerisch, wenn es um solche IP-Adress-Änderungen geht. Kannst Du probeweise mal alles auf Internet schalten, also den Normalfall?

 

[dora71]

Eine extern angeschlossene Fritzbox macht genau das gleiche Problem.
Ein extern angeschlossenes Softphone funktioniert problemlos.
Registrierung ok. Ankommende Rufe ok. Nur abgehend scheitert es bei der Fritzbox. Beim Softphone geht's.