[Problem] Ausgehende SIP von Softphone hinter Digitalisierungsbox

[DMShorty]

Hallöle!

Ich bin relativ neu in meiner neuen Firma und soll die Telefonie etwas "modernisieren" da mein Vorgängeradministrator mir hier einen ganz schönen Scherbenhaufen hinterlassen hat.

Folgende Situation.
Wir haben 2 Physikalisch komplett getrennte Netzwerke. Wir arbeiten mit Namenhaften Firmen zusammen und eine Vorrausetzung für die Zusammenarbeit ist, dass wir kein WLAN haben dürfen für das Netz an dem unsere Server hängen.

Beide Netzwerke haben einen eigenen Internetanschluss. Das interne Netz mit Telefonserver und allen anderen MS Servern liegt hinter einer FritzBox.
Das andere Netz, welches eigentlich nur für WLAN (Laptops, Handys, ect.) benutzt wird hängt hinter einer uralten Digitalisierungsbox.
Leider muss ich gestehen, dass ich mich mit der Telekom Digitalisierungsbox wirklich NULL auskenne.

Folgendes Problem:
Ich habe auf meinem Handy ein Softphone Client für Homeoffice und auch außerhalb der Firma unter Firmennummer telefonieren zu können. Wenn das alles gut läuft sollen alle bald mit einem Softphone hier rumlaufen.
Über LTE und bei mir zuhause im WLAN funktioniert die Verbindung einwandfrei. Ich kann mich von überall auf die Telefonanlage einloggen. Außer ich bin im WLAN Netz der Firma welches hinter der Digibox liegt und ich habe keine Ahnung warum.

Ich weiß, dass früher die Digibox benutzt wurde für eine andere Telefonnummer. Die Digibox ist quasi mal Telefonserver gewesen. Die Nummer wird nur mittlerweile von der Telefonanlage mit verwaltet.
Aber das kann ja nicht die ausgehenden Verbindungen blockieren oder?
Ich hoffe, dass mir hier jemand helfen kann, da ich gerade echt auf dem Schlauch stehe. Ist bestimmt nur Trivial aber ich habe gerade echt ein Brett vor dem Kopf

 

[KunterBunter]

Wenn du dich im WLAN Netz der Firma auf die Telefonanlage einloggen willst, it es egal, ob die Digitalisierungsbox die ausgehenden Verbindungen blockiert. Das ist doch eine interne Verbindung. Vermutlich wird das nur durch einen DNS-Rebind-Schutz verhindert.

 

[DMShorty]

Nicht, dass wir da aneinander vorbei reden. Die Softphones sind nicht im selben lokalen Netz wie die Telefonanlage. Wie oben beschrieben ist das zwar eine dämliche Lösung aber unsere Kunden bestehen drauf.

Edit DM41: Vollzitat des vorhergehenden Beitrags gelöscht.

 

[sonyKatze]

uralten Digitalisierungsbox

Welche denn genau: Standard, Smart, Premium oder Basic?

 

[DMShorty]

Premium

Edit DM41: Vollzitat des vorhergehenden Beitrags gelöscht.

 

[frank_m24]

Verstehe ich das richtig: Die Server hängen hinter der Fritzbox, die Clients hinter der Digitalisierungsbox.

Die Clients hinter der Digitalisierungsbox gehen dann über die Digitalisierungsbox ins Internet und von da über die Fritzbox wieder ins interne Netz, um auf die Server zuzugreifen? Ist das so richtig? Geht das via VPN, oder gibt es da Portöffnungen? Funktioniert dieser Zugriff reibungslos?

Und wie erfolgt der Zugriff auf den Telefonserver? Auf die gleiche Weise, wie auf andere Server? Dann sollte auch der Zugriff auf den Telefonserver aus dem Netz der Digitalisierungsbox möglich sein.

 

[DMShorty]

Verstehe ich das richtig: Die Server hängen hinter der Fritzbox, die Clients hinter der Digitalisierungsbox.

[...}

Fast. Das Netz hinter der Digibox sind quasi nur externe Geräte wie Handys und Laptops. Beispiel: Kunde kommt zur Konferenz und bring sein Laptop mit und muss ins Internet. Laut Vertrag mit einigen unserer Kunden muss ausgeschlossen sein, das externe Geräte, die NICHT zur eigenen Firma gehören nicht an das selbe physikalische Netz angeschlossen werden in welchem mit Kundendaten hantiert wird. Zudem wird uns vertraglich aufgelegt, dass in diesem Netz keine WLAN Verbindungen möglichseien sollen.

Mein Vorgänger hatte also dann 2 parallele und voneinander unabhängige Netze aufgebaut. Eins mit WLAN und für externe Geräte die über den Internetanschluss an der Digibox gehen und unser "Arbeitsnetz" an dem Workstations, Telefonanlage und Server angeschlossen sind. Dieses Netz ist hinter einer FritzBox.

Dass das bescheuert ist, und man auch mit anderen Mitteln lösen kann ist mir bewusst aber das ist auch nicht das Problem. Ich werde irgendwann, wenn ich Zeit habe das ganze umstrukturieren.

Da Chef gerne von den DECT Geräten weg möchte (Keine Ahnung warum) sollen die Mitarbeiter Softphones auf ihr Firmenhandy bekommen. Diese Softphones sollen sich nun über das WLAN über das Internet mit dem Telefonserver auf der anderen Leitung verbinden.

Wie beschrieben.
Über LTE (Vodafone) -> Kein problem.
Bei mir im WLAN zuhause (FritzBox) -> Kein problem.
Arbeitskollege hat es gestern auch getestet.
LTE von seinem Handy (Telekom) - Kein Problem.
WLAN bei ihm zu Hause (FritzBox) -> Kein Problem.

Beide über die Digibox -> Problem.

 

[KunterBunter]

Laut Vertrag mit einigen unserer Kunden muss ausgeschlossen sein, das externe Geräte, die NICHT zur eigenen Firma gehören nicht an das selbe physikalische Netz angeschlossen werden in welchem mit Kundendaten hantiert wird.

Vernünftiger wäre es, wenn es laut Vertrag abgesichert sein muss, das externe Geräte, die nicht zur eigenen Firma gehören, NICHT an das selbe physikalische Netz angeschlossen werden, in welchem mit Kundendaten hantiert wird.

 

[DMShorty]

Vernünftiger wäre es, wenn es laut Vertrag abgesichert sein muss, das externe Geräte, die nicht zur eigenen Firma gehören, NICHT an das selbe physikalische Netz angeschlossen werden, in welchem mit Kundendaten hantiert wird.

Ich weiß grade nicht, wie mir das bei meinem Problem weiter hilft

 

[sonyKatze]

Laut Vertrag mit einigen unserer Kunden muss ausgeschlossen sein, das externe Geräte, die NICHT zur eigenen Firma gehören nicht an das selbe physikalische Netz angeschlossen werden in welchem mit Kundendaten hantiert wird. Zudem wird uns vertraglich aufgelegt, dass in diesem Netz keine WLAN Verbindungen möglichseien sollen.

Das bedeutet eigentlich, dass Du mit Zugangskontrollen auf Ethernet-Ebene arbeitest (z.B. 802.1x). Folglich bedeutet das, dass Du mit einer FRITZ!Box als Router in diesem Netz nicht weiter kommst. Wenn dieser Kunde solche Lieferketten-Regelungen macht, dann sollen die Euch auch gefälligst unterstützen bzw. mindestens einen System-Integrator nennen können, der Eurer Netz so aufbaut, dass dann „deren“ Versicherung mitspielt. Nächstes Problem: Diese Regelung bedeutet normal auch, dass ihr keinerlei externe Server-Dienste aus diesem Netz heraus anbieten dürft. Folglich auch keinen Telefon-Server. Der müsste in das „andere“ Netz. Wobei ich behaupte, dass Deinem Kunden völlig egal ist, ob dass der selbe Internetanschluss ist. Anders formuliert: Zwei Netze sind auch mit einem Internet-Anschluss möglich. Die meinen nämlich Eurer internes Netz. Nächstes Problem: Bei so einem Kunden kann Euch passieren, dass der zu Euch durchgreifen will, also im Fall eines Datenlecks Euch vernichten dürfte. Ganz schwer, das zu vermeiden. Selbst wenn Ihr Euch durch eine IT-Security-Firma regelmäßig auditieren lassen würdet, dürfte das nicht ausreichen … aber lass uns mit diesem aus meinen Augen Holzweg weiter bzw. lassen wir dieses Netz mal wie es ist. Ich wüsste nämlich nicht, wie das ursachlich sein könnte.

KunterBunter will Dir sagen, dass Du unverzüglich abzubrechen hast. Diese Aufgabe ist nicht weiter zu verfolgen. Das meint er mit seiner Relation „vernünftiger“. Sehe ich ein wenig anders. Auf jeden Fall ist das umgehend an Deinen Vorgesetzten (und je nach Struktur zusätzlich an den Verantwortlichen) zu melden und schriftlich zu dokumentieren, so dass Du aus dem Schneider bist. Kann sogar je nach Vertrag nötig sein, dass Du direkt das auch an den Kunden melden musst. Manche solche Verträge haben Whistleblower-Paragraphen.

Digitalisierungsbox Premium

Warum ist die alt? Stehe gerade auf dem Schlauch. Das ist ein Produkt sogar aktuell noch in der Vermarktung. Die Frage ist, ob die aktuelle Firmware drauf ist und wie die konfiguriert ist. Mein erster Tipp: Melde Dein Ausgangspost (über die Taste Melden) und bitte den Thread in das Unterforum „bintec-elmeg“ zu verschieben. Mögliche Probleme:

• In der Digitalisierungsbox Premium sind unnötigerweise (?) Telefonie-Anschlüsse hinterlegt.
• Beide Netz haben dasselbe Subnetz, also z.B. 192.168.178.0/24. Dann kann es sein, dass der Telefonie-Client oder der Telefon-Server nicht erkennt, dass die Anfrage aus einem anderen Netz stammt. Er denkt, es wäre lokal und macht dann Murks.

Das wären meine Ideen. Wenn das nicht die Ursache war, könnten wir anbieten Paket-Mitschnitte anzuschauen, also einmal vor und hinter der Firewall der Digitalisierungsbox Premium und einmal vor und hinter der FRITZ!Box. Insgesamt vier Mitschnitte eines Telefon-Anrufs.

 

[frank_m24]

Wie dem auch sei, um das Problem in der momentanen Konstellation einzugrenzen:
- Welche internen IP-Adressbereiche nutzen die beiden Netze?
- Wie weit kommt ein Traceroute aus dem WLAN Netz ins Servernetz?

 

[DMShorty]

Zwei Netze sind auch mit einem Internet-Anschluss möglich.

• Beide Netz haben dasselbe Subnetz, also z.B. 192.168.178.0/24. Dann kann es sein, dass der Telefonie-Client oder der Telefon-Server nicht erkennt, dass die Anfrage aus einem anderen Netz stammt. Er denkt, es wäre lokal und macht dann Murks.

Zum ersteren weiß ich das. Wie gesagt, bin noch neu in dieser Firma und habe die IST Situation jetzt erst einmal übernommen. Da mein Vorgänger recht Schlampig war, was Protokollierung angeht und so gut wie NICHTS an der Infrastruktur dokumentiert ist und das was dokumentiert ist auch noch völlig veraltet. Die Firma hatte jetzt ca. 1-2 Jahre keinen der sich primär um die IT kümmert. Die Mitarbeiter haben immer mal wider was nach Bedarf geändert und ausprobiert ohne das Geänderte irgendwo zu notieren geschweigenden nach gescheiterten Tests irgendetwas was nicht funktionierte wider zu entfernen. Ich muss mich durch den Scherbenhaufen erst einmal durchwuseln. Deswegen will ich zur Zeit nicht (schon gar nicht im laufenden betrieb) ein Funktionierendes System verändern. Sowas könnte man für die nächste Wartung andenken.
Ich hatte angenommen, dass ein Zugriff der Softphones schnell geregelt ist ohne etwas an der bestehenden Situation zu ändern.

Zudem sind alle Workstations und Server noch einmal zusätzlich hinter einem Gateway und haben nicht das selbe Subnetz. Einzig die Telefone + PBX sind ohne Gateway an der FritzBox angeschlossen.
*sigh* Ich sag ja... Scherbenhaufen

zum zweiten Punkt beide sind tatsächlich im selben Subnetz. Die Idee wollte mir irgendwie überhaupt nicht kommen.

Danke. Ich werde das mal weiter verfolgen

 

[sonyKatze]

Deswegen will ich …

Gegenüber uns brauchst Du Dich nicht zu rechtfertigen. In normalen Firmen gibt es in so einem Fall einen Shutdown. Klingt auch so als könnten inzwischen genügend Tunnel kreuz und quer zwischen den Netzen existieren.

sind tatsächlich im selben Subnetz

Du weißt wie Du den DHCP-Server in der Digitalisierungsbox Premium änderst? Was Du vorher probieren kannst: Wenn beide Seiten IPv6-fähig sind, kannst Du einen IPv6-fähigen VoIP/SIP-Client probieren. Hat der auch Probleme, ist es vielleicht doch was anders.

 

[Kalle2006]

Das Problem ist doch eigentlich die Fritzbox, denn damit lassen sich keine unterschiedlichen Netzwerksegmente realisieren. Und es macht auch wenig Sinn, die Softphones über das Internet mit der Telefonanlage zu verbinden.

 

[DMShorty]

Problem gelöst. Es war wegen dem selben Subnetz. Dankeschön!

 

[weißnix_]

Zwei Netze sind auch mit einem Internet-Anschluss

Die haben dann aber nur eine logische Trennung, nicht oder?
Wenn der Kunde tatsächlich eine physikalische Trennung vorschreibt, hat aber die Telefonie IMHO im Servernetz nix zu suchen.

 

[sonyKatze]

Problem gelöst.

Ursache gefunden. Problem ist nicht wirklich gelöst … wenn einer Deiner Heimwerker zufällig daheim doch wieder das gleiche Subnetz hat. Ein Trick wäre, eine seltenes Subnetz (im Netz mit dem Telefon-Server) zu nehmen. Der andere Trick wäre alle WLAN-Clients auf STUN oder rPort umzustellen. Die richtige Lösung wäre, dass der Telefon-Server gar nicht erst auf die Idee kommt die IP-Adressen im SIP/SDP auszuwerten und stattdessen immer auf die Quell-IP antwortet.