[Gelöst] Firewall für Telekom Voip fit machen

[proverclocker]

Hallo zusammen,

ich bin gerade dabei meinen Asterisk auf den Telekom IP-Anschluss einzurichten und weiß nicht mehr weiter...
Ich hoffe mir kann jemand in meiner Verzweiflung weiterhelfen ;-)

Was bisher funktioniert ist das Registrieren und abgehende Telefonie. Ankommend wird zwar signalisiert, aber kein Audio (in beide Richtungen).

Ich muss dazu sagen, ich weiß nicht so recht wie das mit den RTP Ports laufen soll. Ich bin netzwerktechnisch relativ bewandert aber diese RTP Streams kann ich irgendwie nicht bändigen :\

Die Konstellation ist ein NAT Router (Cisco SOHO modell 876) eine VM mit Asterisk 11 (unter ubuntu), 2 SIP Telefone und 2 analoge über ein Audiocodes Gateway.
Ich habe die Ports 5060 (SIP) und 30000-30020(RTP) zur Asterisk Box geforwarded. Außerdem habe ich eine Firewall (ACL) Regel erstellt, die diese Ports eingehend und ausgehend kommunizieren lässt.
Im Asterisk, dem Gateway und den SIP Telefon, habe ich die RTP Range auf 30000-30020 eingestellt. Was soll ich sagen, immer noch kein Audio...

Die Telekom nutzt abgehend Ports so zwischen 10000 und 20000. Ankommend kommt teilweise was auf den 1000 oder 7000er Ports an, was die Firewall dann natürlich blockt. Ich kann hier kein Muster erkennen! Die Asterisk Box soll von den Endgeräte und dem Gateway als Proxy benutzt werden.

Wie werden diese Ports ausgehandelt? Und wie kann ich das manipulieren?

Ich bin noch relativ neu was Asterisk angeht und weiß auch nicht so recht wie man dieses Problem debuggen kann.

Ich bin für jeden Schubs in die richtige Richtung dankbar und bedanke mich schonmal im Voraus!

Viele Grüße

Hier mal noch die Configs:

sip.conf

[general]
alwaysauthreject=yes
allowguest=no
externhost=dyndns.adresse
externrefresh=600
defaultexpiry=600
maxexpiry=3600
tcpenable=yes
bindport=5060
bindaddr=10.10.20.250
localnet=10.10.0.0/255.250.0
srvlookup=yes
language=de

register => Rufnummer1mitVorwahl:PASSWORT:[email protected]/Rufnummer1mitVorwahl
register => Rufnummer2mitVorwahl:PASSWORT:[email protected]/Rufnummer2mitVorwahl

[ankommend](!)
trustrpid=no
context=ankommend
type=peer
canreinvite=yes
insecure=port,invite
usereqphone=no
t38pt_udptl=no
nat=nat=force_rport,comedia
disallow=all
allow=ulaw
allow=alaw
dtmfmode=rfc2833

[Telekom](ankommend)
defaultuser=emailadresse
authuser=emailadresse
secret=passwort
host=tel.t-online.de
fromdomain=tel.t-online.de
qualify=yes

[100]
type=friend
transport=tcp
username=100
secret=daspassword
disallow=all
allow=alaw
context=allerechte
host=dynamic
contactdeny=0.0.0.0/0.0.0.0                                                    
contactpermit=10.10.0.0/255.255.0.0

extensions.conf

[default]

exten => _X.,1,Answer ()
exten => _X.,2,Verbose(D E F A U L T ==> ${CALLERID(num)} kam um ${STRFTIME(${EPOCH},,%Y%m%d-%H%M%S)} in DEFAULT an als er versuchte die Nummer ${EXTEN} anzurufen.)
exten => _X.,3,Playback(invalid)
exten => _X.,4,Hangup

[ankommend]
exten => Rufnummer1mitVW,1,Dial(SIP/100&SIP/102)
exten => Rufnummer2mitVW,1,Dial(SIP/104)

[intern]
exten => _1XX,1,Dial(SIP/${EXTEN})

[allerechte]

include => intern

exten => _00[1-8]X.,1,Set(CALLERID(num)=Rufnummer)
exten => _00[1-8]X.,n,Set(CALLERID(name)=Rufnummer)
exten => _00[1-8]X.,n,Dial(SIP/${EXTEN:1}@Telekom,60,tr)

[nur_festnetz]

include => intern

 

[proverclocker]

Hallo,
ich wollte nur kurz Bescheid geben, dass ich das Problem inzwischen gelöst habe.
Schuld war meine RTP Range im Bereich 30000. Der T-Online Sip Server weigert sich an diese Ports etwas zu schicken. Seltsam, dass die Telekom gerade diese Ports auf der Seite http://hilfe.telekom.de/hsp/cms/content/HSP/de/3378/FAQ/theme-45859561/Telefonie/theme-45859560/Anschluss-und-Tarife/theme-45859549/Telefonieren-und-Surfen/theme-82239611/IP-basierter-Anschluss/faq-350884716 veröffentlicht hat. Möglicherweise hat die gute Telekom da selbst einen Konfigurationsfehler?!

Nun gut ich arbeite nun auf der Portrange 10000-10060 und das funktioniert problemlos. Falls jemand mal das gleiche Problem hat und sich fragt, wie er dem Asterisk die RTP Range beibringen soll: schaut euch die Datei /etc/asterisk/rtp.conf an.

P.S.: STUN scheint leider auch mit Asterisk 11 nicht wirklich zu funktionieren, trotz Ankündigung. Leider ist im Netz so gut wie nichts darüber zu finden. Wird aber auch nicht zwingend benötigt, wenn man sich eine dynamische DNS Adresse zulegt (z.B. bei: www.no-ip.com).

Viele Grüße