Asterisk hinter LANCOM NAT Router ...

[mipo]

Hallo zusammen,

ich habe testweise meine Asterisk Installation hinter einer Astaro Firewall, über den in der Astaro eingebauten SIP Proxy betrieben und funktioniert einwandfrei. Also die Asterisk wird
als kleine TK-Anlage genutzt und sie soll sich zu 5 SIP Providern und dem ISDN (Telekom)
ein und ausgehend connectieren können.

Nun möchte ich die Asterisk an einen LANCOM 1611+ NAT Router betreiben. Ich habe die LANCOM Firewall im Moment ausgeschaltet und das Portforwarding (also Internet -> LAN)
für den Port 5060 und 10.000 - 20.000 (lt. rtp.conf) freigeschaltet. Bin mir aber nicht so
ganz sicher, ob dies überhaupt nötig ist. Man liest hier sehr viel wiedersprüchliches. Ich
möchte ja von einer Asterisk im LAN zu einem sich im Internet befindlichen Provider Kontakt
aufnehmen ... Korrigiert mich bitte, wenn ich hier einen Denkfehler mache ...

Vier von 5 Clients erscheinen nach Eingabe von "sip show registry" im State "registered", nur PBX-Network steht im State "Request Sent" und bringt in regelmäßigen Abständen folgende
Fehlermeldung:

OTICE[2728]: chan_sip.c:7618 sip_reg_timeout: -- Registration for '[email protected]' timed out, trying again (Attempt #32)

In der sip.conf
srvlookup=no
nat=yes

[pbx-network]
type=peer
host=sip.pbx-network.de
username=1xxxxx
fromuser=1xxxxx
secret=yyyyyy
qualify=yes
//insecure=port,very
disallow=all
allow=alaw,ulaw
canreinvite = no


Ich wäre euch wirklich sehr dankbar, wenn ihr mir einen Tip geben könntet. Bisher bin ich wirklich noch nicht viel weiter gekommen, trotz suche hier im Forum und google.

vielen Dank im Voraus
Michael

 

[abw1oim]

Ich habe eine ähnliche Konfiguration, allerdings mit einem Lancom 1722.

Folgendes solltest Du zunächst checken:

Sind die Portfreigaben (im Lancom) sowohl für TCP als auch UDP?
Sonst habe ich da folgenden Unterschied zu Dir: Ich gebe eine Range (5060-5070) für das SIP-Protokoll an, man weiß ja nie, ob nicht einer der Anbieter etwas anderes als 5060 nimmt ...

In der sip.conf von Dir fällt mir nur eine Differenz im General-Block zu mir auf:

nat=yes

Da habe ich

nat=no

Hintergrund: Da Du die Ports an den Asterisk weiterleitet, repäsentiert er ja für die SIP-Verbindung einen quasi nicht genatteten Anschluß.
Wenn Du das so umstellst mußt Du natürlich bei internen peers entsprechend nat=yes setzen.

Das kannst Du ja mal testen. Ansonsten ist eine solche Fehlermeldung natürlich auch grundsätzlich denkbar für den Fall, dass der entsprechende SIP-Server (temporär) tatsächlich nicht antwortet.

 

[mipo]

Hallo,

danke Dir für Deine Antwort! Das werde ich auf alle Fälle checken mit dem nat=yes/no. Nur UDP ...

Mal eine kätzerische Frage, da hier die Meinungen sehr weit auseinandergehen:
Brauche ich überhaupt ein Portforwarding (also unter IP-Router/....) von Richtung Internet ins LAN (im LAN befindet sich ja die Asterisk)?
Die Asterisk verhält sich ja wie ein SIP Client?!

Denkbar wäre ein Ausfall eines Providers sicherlich, doch ich kann ja durch Umschalten der IP Adressen / umstecken die Möglichkeit sehr zeitnah die Router zu wechseln.

viele Grüße
Michael

 

[Thomas007]

Brauche ich überhaupt ein Portforwarding (also unter IP-Router/....) von Richtung Internet ins LAN (im LAN befindet sich ja die Asterisk)?

Ganz klar Nein, wenn Du eingehende Gespräche nur über Deinen Registrar empfangen möchtest. Bei ausgehenden ohnehin nicht.
NAT und connection tracking muß allerdings auf dem Router passen.

 

[stinkstiefel]

Die Asterisk verhält sich ja wie ein SIP Client?!

Das ist so weit korrekt, jedoch verwendet ein SIP-Client um Probleme mit NAT,Firewall und dynamischen IPs zu lösen meist STUN. Das pauschale Nein von Thomas007 würde ich so übriegens nicht unterschreiben.

Edit: Oft wird als Lösung für NAT-Router/Firewall ein SIP-Proxy verwendet.

 

[Thomas007]

Eine Firewall ist ein Konzept, bei den meisten Bauhaus Routern besteht es aus NAT und kaputtes connection tracking plus einen Zähler für Hacker Angriffe der auch mal ein paar Pakete wegschmeissen lässt wenn er einen bösen Hacker Angriff vermutet.

Da gibt es viele lustige Sachen und sicher gibt es auch Leute die mit einem Proxy einen kaputten Router reparieren wollen.
Bestimmt findet man auch Leute die Port 80 auf ihren Rechner weiterleiten weil dann der Browser besser funktioniert.

Aber erst mal sollte man den Asterisk richtig konfigurieren.

 

[mipo]

Hallo zusammen,

dieser <sarkasmus>tolle</sarkasmus> LANCOM 1611 Router kann trotz neuester Firmware
keine gescheite NAT Unterstützung. Ich habe jetzt einmal ein normales SIP Telefon versucht
über diesen Router mit dem SIP Provider meines Vertrauens zu verbinden.

Ohne STUN läuft scheinbar nichts ... :-((

Kann man dem Asterisk 1.4.23.1 eine STUN Unterstützung beibringen?

viele Grüße
Michael

 

[stinkstiefel]

Der LANCOM 1611 Router kann trotz neuester Firmware keine gescheite NAT Unterstützung.

Ach ist das so? Deine Erkenntnis wird den Hersteller sicher interessieren.

 

[mipo]

Ach ist das so? Deine Erkenntnis wird den Hersteller sicher interessieren.

Hallo Stinkstiefel,

tja, aber ändern wird er kaum etwas daran können. Ist ja eher ein, so nennen wir es mal, "Designfehler" des SIP/RTP Protokolls. Ich bin ein absoluter ELSA (später LANCOM) Fan der allerersten Stunde. Man ärgert sich nur, wenn scheinbar simple Dinge nicht oder nur mit riesigen Testaufwänden funktionieren.

Mal was sinnvolles:
Kann man dem Asterisk Server (wie vielen SIP Telefonen auch) einen STUN Server Eintrag verpassen. Hab bisher nichts gefunden. Es gibt aber "stun debug" auf der CLI ... Habs aber in der Doku noch nicht entdeckt ...

viele Grüße
Michael

 

[stinkstiefel]

Mh, so weit ich weiss gab es mal Bestrebungen zu einem STUN-Client, das Projekt scheint aber eingeschlafen zu sein.

 

[aaa007]

bei mir einwandfrei

habe einen LanCom 1822 und dahinter den asterisk.
funktioniert einwandfrei bei mir

portforwarding auf den Asterisk musst Du aber einrichten

lG aaa007

 

[Nili]

Ich habe elastix (asterisk) hinterm Lancom 1724. Am Anfang mit Sip, jetzt aber mit IAX2 an Pbx angebunden.

Einträge unter Sip waren:

username=1111111
type=peer
secret=xxxxxxxx
qualify=yes
host=sip.pbx-network.de
disallow=all
canreinvite=no
allow=alaw,ulaw

Nili


Nili