[erledigt]Eingehend nicht erreichbar hinter Firewall

[Sagamore]

Hallo,

habe ein Problem mit meiner Fritzbox 5050 hinter der Sonicwall TZ150.

Die Fritzbox registriert die Nummern hinter der Sonicwall ohne das auf der Sonicwall zusätzliche Ports freigegeben wurden, ausgehend telefonieren funktioniert auch soweit.

Eingehend kommt jedoch kein Anruf zustande, Portweiterleitung aktiv halten habe ich in der Fritzbox aktiviert und mit verschiedenen Werten getestet.
Die üblichen Ports 3478, 7077-7097, 30000-30019 usw. habe ich auch schon probeweise in der Sonicwall freigegeben, eingehend und testweise ausgehend, habe auch schon alles auf die Fritzbox rein und raus freigegeben, leider alles ohne Erfolg.

Eine DMZ gibt es bei der Sonicwall nicht. Intrusionprevention, Gateway-Antivirus und Anti-Spyware habe ich in der Sonicwall auch schon probeweise deaktiviert.

Im Log der Sonicwall wird bei einem eingehenden Anruf anzeigt das ein UDP Packet gedroppt wurde von sip.schlund......... gehend auf die IP der Fritzbox.

Ich hoffe mir kann jemand weiter helfen, sonst dreh ich noch durch, sitze schon Tage da drüber und klappt einfach nicht, langsam sinkt der WAF an der ganzen Sache auch schon gewaltig.

Danke
Olli

 

[frank_m24]

Hallo,

Die üblichen Ports 3478, 7077-7097, 30000-30019 usw.

In der Aufzählung fehlen die Ports 5070 - 5079.

Hast du testweise mal einen STUN Server in der Fritz benutzt?

Gibt es in der Sonic sowas wie "SIP ALG", "ALG_SIP" oder "SIP_ALG" ? Falls ja: mal umstellen.

Viele Grüße

Frank

 

[Sagamore]

5070-5079 war bei dem Forwarding auch mit dabei.

Der Stun ist in der Fritzbox eingetragen.

Bei der Sonic gibt es "Enable SIP Transformation", jedoch sobald ich das aktiviere dauert der Verbindungsaufbau extrem lange und es ist nach erfolgtem Verbindungsaufbau kein Freizeichen zu hören, obwohl das Gespräch beim Gegenüber signalisiert wird.

Wenn ich den Stun aus der Fritzbox lösche funktioniert der Verbindunsgaufbau nach draußen auch bei aktiviertem "Enable SIP Transformation.

Jedoch kommt ein allen getesteten Konfigurationen kein Gespräch rein.

Viele Grüße
Olli

 

[Sagamore]

Hallo,
kann mir denn wirklich keiner weiterhelfen?

Danke
Olli

 

[caspritz78]

Ich gehe davon aus, da du Probleme bei eingehenden VOIP anrufen hast, dass das nicht an der Fritzbox sondern an der SonicWall TZ150 liegt (wie kann man sich auch sowas nur kaufen).

Du mußt sicherstellen, dass auf der SonicWall die richtigen Ports geöffent sind und dann auch an die Fritzbox weitergeleitet werden. Schau bei deinem VOIP Betreiber nach welche Ports er nutzt und richte dann eine demenstprechende Regel in der SonicWALL ein.

Das Problem ist sehr wahrscheinlich, dass die SonicWall nicht weiß wohin mit dem ankommenden Gesprächen und dann das UDP-Paket einfach wie im Log angezeigt gedroppt wird, weil die Ports ja nicht offen sind.

Grüße
Christoph

Eine Firewall mit SIP-Proxy hätte das Problem nicht. Nur so ein kleiner Tipp am Rande.

 

[Sagamore]

Wenn vielleicht jemand die gleichen Probleme hat, hier die Lösung des Problems:

In der Fritzbox die Nummern ganz normal mit Anbieter GMX eintragen, somit auch der STUN eingetragen.

An der Firewall habe ich folgendes gemacht:
- Unter "VoIP" "Enable consistent NAT" aktiviert

Unter "Services" habe ich 2 Regeln erstellt
- STUN Port 3478 bis 3478, Protikoll UDP
- RTP Port 7077 bis 7097, Protokoll UDP

Bei den "Access Rules" habe ich folgende Regeln eingetragen
- Im Unterpunkt "General"

1. Action Allow,
Service: Ping
Source
Ethernet: * Address Range Begin: *, Address Range End: frei lassen
Destination
Ethernet: WAN Address Range Begin: IP der FritzBox, Address Range End: IP der FritzBox

2. Action Allow,
Service: Ping
Source
Ethernet: WAN Address Range Begin: IP der FritzBox, Address Range End: IP der FritzBox
Destination
Ethernet: * Address Range Begin: *, Address Range End: frei lassen

3. Action Allow,
Service: SIP
Source
Ethernet: * Address Range Begin: *, Address Range End: frei lassen
Destination
Ethernet: WAN Address Range Begin: IP der FritzBox, Address Range End: IP der FritzBox

4. Action Allow,
Service: STUN
Source
Ethernet: * Address Range Begin: *, Address Range End: frei lassen
Destination
Ethernet: WAN Address Range Begin: IP der FritzBox, Address Range End: IP der FritzBox

5. Action Allow,
Service: RTP
Source
Ethernet: * Address Range Begin: *, Address Range End: frei lassen
Destination
Ethernet: WAN Address Range Begin: IP der FritzBox, Address Range End: IP der FritzBox

- Im Unterpunkt Advanced
habe ich bei allen oben genannten Regeln "Allow Fragmented Packets" aktiviert

Also praktisch Ping ein- und ausgehend zur FritzBox freigegeben.
SIP, STUN, und RTP eingehend zur FritzBox freigegeben.

Funktioniert jetzt alles wie geschmiert.

Ach und übrigens

(wie kann man sich auch sowas nur kaufen)

Die Sonicwall bietet:
Gateway Anti-Virus = Viren werden geblock bevor sie im Netzwerk ankommen
Intrusion Prevention, Anti-Spyware, und E-Mail-Filter bereits am Geteway nicht erst wenn die Dinger schon im Netzwerk sind.
Kannst du von der Sicherheit die meisten anderen Router und schon gar so billige Möchtegernrouter dagegen vergessen.

Gruß
Olli

 

[Andrej]

(wie kann man sich auch sowas nur kaufen)

Welches Produkt schlägst du dann vor ?
Ich will mir eine Anschaffen.

 

[caspritz78]

Die Sonicwall bietet:
Gateway Anti-Virus = Viren werden geblock bevor sie im Netzwerk ankommen
Intrusion Prevention, Anti-Spyware, und E-Mail-Filter bereits am Geteway nicht erst wenn die Dinger schon im Netzwerk sind.
Kannst du von der Sicherheit die meisten anderen Router und schon gar so billige Möchtegernrouter dagegen vergessen.

Ich weiß sehr genau was SonicWall kann und was nicht. Meine Aussage bezog sich auch nicht auf einen Vergleich mit einem einfachen Router, sondern mit anderen UTM-Geräten, die am Markt erhältlich sind. Persönlich bin ich von Produkten wie FortiGate oder Astaro Security Gateway mehr überzeugt.

Grüße
caspritz78