Hallo,
der SIP-Registrar der Telekom ist nur aus dem Telekom-IP-Adressbereich nutzbar. Eine praktische Abhilfe, um den Registrar von außerhalb nutzen zu können, wäre meiner Meinung nach, einfach das Fritz-VPN zu einer Gegenstelle zu nutzen, die sich im Telekom-Netz befindet, also mit einer Telekom-IP online ist.
C:\>nslookup tel.t-online.de
Server: fritz.box (steht in Frankfurt, Telekom-DSL)
Address: 192.168.178.1
Nicht autorisierende Antwort:
Name: f-ipp-a01.isp.t-ipnet.de
Address: 217.0.16.170
Aliases: tel.t-online.de
ims.voip.t-ipnet.de
ims001.voip.t-ipnet.de
Zum Vergleich der Google-DNS löst auf einen anderen Telefonie-Server in München auf:
C:\Users\Lars>nslookup tel.t-online.de 8.8.8.8
Server: google-public-dns-a.google.com
Address: 8.8.8.8
Nicht autorisierende Antwort:
Name: m-ipp-a01.isp.t-ipnet.de
Address: 217.0.16.42
Aliases: tel.t-online.de
ims.voip.t-ipnet.de
ims001.voip.t-ipnet.de
Laut RIPE.NET sieht der IP-Adressbereich dahinter so aus:
inetnum: 217.0.0.0 - 217.5.127.255
netname: DTAG-DIAL13
descr: Deutsche Telekom AG
country: DE
Frage: Hat jemand einen Rat für mich, wie ein sinnvoller Accesslist-Eintrag aussieht, damit sämtlicher Verkehr zu tel.t-online.de erfasst wird? Darf man überhaupt öffentliche IP-Adressen in die Accesslist hinein schreiben oder nur private bzw. alternativ any any?
Wenn man nur eine der möglichen IPs von tel.t-online.de in der Accesslist erfasst, der am entfernten Standort verwendete DNS-Server tel.t-online.de aber auf eine ganz andere IP-Adresse auflöst, dann wäre man auch gekniffen. Um sicher zu gehen sollte man in der VoIP-Konfiguration dann nicht den Domain-Namen (tel.t-online.de), sondern eine sinnvolle IP verwenden.
Wenn ich die Accesslist um folgende Einträge erweitere, dann läuft sämlicher Traffic über den Tunnel. Problem: Das ist nicht nötig und bremst den anderen Verkehr ggf. aus:
(...)
"reject udp any any eq 53", (sorgt dafür, dass DNS-Anfragen nicht über den Tunnel geschickt werden)
"reject udp any any eq 500", (sorgt dafür, dass IP-Sec-Pakete nicht über den Tunnel laufen)
"reject udp any any eq 4500", (sorgt dafür, dass IP-Sec-Pakete nicht über den Tunnel laufen)
"permit ip any any"; (schickt alles über den Tunnel, was nicht in den Zeilen darüber ausdrücklich ausgeschlossen wurde)
Oder man formuliert den Eintrag so, dass einfach sämtliche Internet-Telefonie inkl. Registrar-Anmeldung erfasst wird - das kann im Einzelfall auch sinnvoll sein. Welche Ports sind denn das und wie sähe die entsprechende Zeile aus?
der SIP-Registrar der Telekom ist nur aus dem Telekom-IP-Adressbereich nutzbar. Eine praktische Abhilfe, um den Registrar von außerhalb nutzen zu können, wäre meiner Meinung nach, einfach das Fritz-VPN zu einer Gegenstelle zu nutzen, die sich im Telekom-Netz befindet, also mit einer Telekom-IP online ist.
C:\>nslookup tel.t-online.de
Server: fritz.box (steht in Frankfurt, Telekom-DSL)
Address: 192.168.178.1
Nicht autorisierende Antwort:
Name: f-ipp-a01.isp.t-ipnet.de
Address: 217.0.16.170
Aliases: tel.t-online.de
ims.voip.t-ipnet.de
ims001.voip.t-ipnet.de
Zum Vergleich der Google-DNS löst auf einen anderen Telefonie-Server in München auf:
C:\Users\Lars>nslookup tel.t-online.de 8.8.8.8
Server: google-public-dns-a.google.com
Address: 8.8.8.8
Nicht autorisierende Antwort:
Name: m-ipp-a01.isp.t-ipnet.de
Address: 217.0.16.42
Aliases: tel.t-online.de
ims.voip.t-ipnet.de
ims001.voip.t-ipnet.de
Laut RIPE.NET sieht der IP-Adressbereich dahinter so aus:
inetnum: 217.0.0.0 - 217.5.127.255
netname: DTAG-DIAL13
descr: Deutsche Telekom AG
country: DE
Frage: Hat jemand einen Rat für mich, wie ein sinnvoller Accesslist-Eintrag aussieht, damit sämtlicher Verkehr zu tel.t-online.de erfasst wird? Darf man überhaupt öffentliche IP-Adressen in die Accesslist hinein schreiben oder nur private bzw. alternativ any any?
Wenn man nur eine der möglichen IPs von tel.t-online.de in der Accesslist erfasst, der am entfernten Standort verwendete DNS-Server tel.t-online.de aber auf eine ganz andere IP-Adresse auflöst, dann wäre man auch gekniffen. Um sicher zu gehen sollte man in der VoIP-Konfiguration dann nicht den Domain-Namen (tel.t-online.de), sondern eine sinnvolle IP verwenden.
Wenn ich die Accesslist um folgende Einträge erweitere, dann läuft sämlicher Traffic über den Tunnel. Problem: Das ist nicht nötig und bremst den anderen Verkehr ggf. aus:
(...)
"reject udp any any eq 53", (sorgt dafür, dass DNS-Anfragen nicht über den Tunnel geschickt werden)
"reject udp any any eq 500", (sorgt dafür, dass IP-Sec-Pakete nicht über den Tunnel laufen)
"reject udp any any eq 4500", (sorgt dafür, dass IP-Sec-Pakete nicht über den Tunnel laufen)
"permit ip any any"; (schickt alles über den Tunnel, was nicht in den Zeilen darüber ausdrücklich ausgeschlossen wurde)
Oder man formuliert den Eintrag so, dass einfach sämtliche Internet-Telefonie inkl. Registrar-Anmeldung erfasst wird - das kann im Einzelfall auch sinnvoll sein. Welche Ports sind denn das und wie sähe die entsprechende Zeile aus?
Zuletzt bearbeitet:
