Fritzbox-Kaskade - LAN-Telefon von FB1 an FB2 -> nicht möglich

[Bib]

Hallo,

ich habe hier 2 Fritzbox 7490. Die Master-Fritzbox hängt direkt am DSL-Anschluss der Telekom. Darin sind auch die SIP-Telefonnummern eingetragen.
IP-Bereich der Masterbox: 192.168.1.xxx

Die Client-Fritzbox hängt als eigenständiger Router an einem LAN-Anschluss der Master-FB, von dem sie auch Internet erhält.
Sie hat einen eigenen IP-Bereich: 192.168.50.xxx

Ich habe in der Client-FB einen Sipgate-Account eingerichtet, der funktioniert ohne Probleme.

Jetzt wollte ich eine der Master-Telekom-Rufnummern auch in der Client-FB nutzen. Ich habe ein IP-Telefon angelegt und die Daten dann auch in der Client-FB eingetragen, aber die Verbindung baut sich nicht auf, es wird nicht grün. Ich hab das schon öfter mit anderen Fritzboxen über VPN gemacht, da hat das immer perfekt geklappt. Aber hier will es nicht... An einem anderen Standort z.B. laufen alle Fritzboxen im selben IP-Bereich, da klappt das auf Anhieb. Aber hier sollen es getrennte IP-Bereiche bleiben.

Wie bekomme ich das hin? Liegt es daran, dass die Fritzboxen nichts von den unterschiedlichen IP-Bereichen wissen?

Oder kann ich vielleicht die Telekom Rufnummer direkt in der Client-FB eintragen? Die Rufnummer wird aber an der Master-FB auch benötigt... Kann man eine Telekom-SIP-Nummer mehrmals registrieren?

Oder muss ich ein internes VPN erzeugen? Oder Netzwerkrouten setzen?

 

[koyaanisqatsi]

Monsen


Doppel NAT hab ich hier auch, aber bei mir klappt die Registrierung einer Internetrufnummer im 2. NAT (7590, 7.11) an einem "angelegten IP-Telefon" im 1. NAT (7560, 7.12).

Zeig doch mal Screenshots der entsprechenden Konfigseiten.
...dann meditiere ich mal darüber.

 

[Bib]

Hier die Master-FB mit dem direkten Telekom-Anschluss:




Und die Client-FB:



Und hier nochmal die Settings in meinem Asterisk, welcher hinter der Client-Fritzbox hängt... Das war der erste Versuch, direkt auf die Master-FB zu gehen.
Das seltsame daran war, dass es schon mal kurz funktioniert hat und dann nach einigen Minuten der Peer automatisch auf "unreachable" gesprungen ist. Ich hab dann ein bischen gespielt und neu gestartet, dann irgendwann war er wieder kurz erreichbar und dann wieder nicht mehr...

[fbfgateway3]        
type = peer
insecure = port,invite
;nat = no                        ; beides ausprobiert
nat = force_rport,comedia        ; mit = force... scheint es eher zu gehen?
canreinvite = no
authuser = AsteriskUser123
fromuser = AsteriskUser123
fromdomain = 192.168.1.1
secret = SehrGeheimesPasswort!"§123
host = 192.168.1.1
dtmfmode = rfc2833
context = incoming
disallow = all
allow = ulaw
allow = alaw
transport = udp
qualify = yes
;deny=0.0.0.0/0.0.0.0                    ; zum test auskommentiert, geht aber auch mit
;permit=192.168.1.1/255.255.255.0        ;

 

[koyaanisqatsi]

Wow, du machst es mir aber echt schwer
...ab wann darf mit einer Freigabe zwecks Sichtung der Originaleinstellungen gerechnet werden?

...und wo meldet sich der Peer [fbfgateway3], wenn nicht obiges "angelegte IP-Telefon" gemeint ist?
( Ein register= krieg ich nämlich auch nicht hin )

Der Peer..
[fbfgateway3]
...ist ( primär ) zum Rausrufen, aber bleibt lokal, macht kein NAT und deswegen...
;insecure=
;nat=
;qualify=
; ...würd ich nicht machen, kommentieren mit ;

Klappt ein...
exten => 600,1,dial(SIP/**600@fbfgateway3)
...aus dem Kontext den du willst?

PS: Wenn Obiges klappt, machs auch mal mit reinrassigen VoIPoFB...
exten => 797,1,dial(SIP/**797@fbfgateway3)
...eignet sich prima als MoH


qualify=
Falsch verwendet entspricht qualify eher einer DoS Attacke.
Entgegen dem was der Name verspricht ist das Ergebnis dann genau das Gegenteil.

Ich empfehle daher ihn nicht zu benutzen, es sei denn, es wird nicht nur das schnöde "yes" benutzt, sondern eine konkrete Zeitangabe gemäss der Syntax...
qualify=[ms]
...demnach entspricht...
qualify=120000
...120 Sekunden oder 2 Minuten.
Das reicht, ist kein Spam und die FRITZ!BOX antwortet sogar auf eine authorisierte OPTIONS Anfrage mit...
"SIP/2.0 401 Unauthorized"
...aber Asterisk ist ja nicht doof und lässt sich nicht beirren, denn...
"Arrogante F!B, du antwortest mir, also biste auch da"

 

[Bib]

Du brauchst Screenshots ohne Schwärzung (heisst das dann in meinem Fall Rötung ?!? ) ? Will meine Tel-Nr nicht unbedingt online stellen.

Also der Asterisk sollte sich an der Master-FB anmelden. register= hab ich nicht, weil ich da nur raustelefonieren will... Nichts ankommend.

Ich hab in der Master-FB hierzu dann alles so belassen.

Als das nicht ging, dann die Idee mit der Client-FB...


Solange der Peer offline ist, brauch ich doch die weiteren Vorschläge garnicht versuchen oder?

Sip show peers zeigt fbfgateway3=offline

 

[koyaanisqatsi]

Siehste, da geb ich mir so eine Mühe, und du probierst es noch nicht mal.

Lokale IPs und der Benutzername gerötet, die Telefonnummer interessiert mich nicht.
Da steht noch eine zweite Frage, wie lautet die Antwort, dann kann ich [fbfgateway3] besser "decodieren".

Netzwerktopologie: 192.168.1.1 ist erstes NAT, wo ist Asterisk ? - *.50.* ? - Dann braucht Asterisk eine NAT Erkennung

Wenn kein...
qualify=
...dann Offline
wenn...
qualify=120000
...dann Online
Und für Beides gilt:
Wenn du am Telefon die 600 wählst, wie oben mit Extension im Dialplan aus einem Kontext deiner Wahl und die Dame anfängt zu quatschen,...
...hastes dann verstanden?

Ich empfehle dir auch mal, mit sip set debug on den "Matrix Modus" einzuschalten.
In kürzester Zeit, so nach drei Stunden "Guru Meditation" ( Die guten alten Amiga Zeiten ), sprechen wir die selbe Sprache, versprochen

 

[Bib]

Ok, ok, du hast mich überzeugt, ich hatte da ein wenig andere Vorstellungen... Also offline kann auch bedeuten, dass es trotzdem online ist... Ich probier deine Tipps gleich mal nacheinander alle aus.

Also die Master-Fritzbox ist bei den Eltern, die haben den DSL-Anschluss. IP *.1.*

Die Client-Fritzbox steht bei mir im Haus - wir wohnen gleich nebenan und es ist eine LAN-Verbindung von deren Haus zu unserem rüber gelegt. Wir haben dann eine Client-FB mit dem IP-Bereich *.50.*

Der Asterisk steht bei mir im Haus, also IP *.50.*


Zur Frage:
Wo meldet sich der peer fbfgateway3...
Antwort:
Das Gateway sollte sich an der Master-FB anmelden, sieht man ja am host=*.1.* Netz

Erster Versuch war: Asterisk IP *.50.* an Master-FB *.1.* anmelden --> ging irgendwann mal bzw war kurz mal online, dann immer nur offline
Zweiter Versuch: Client-FB *.50.* an Master-FB *.1.* anmelden --> Ging garnichts, der Anschluss kam nie online, wurde nie grün, in den Logs der Client-FB kamen Fehler.

Deine beiden extens... funktionieren nicht bei mir. Auf der CLI sehe ich bei beiden:

   -- Executing [60@phones:1] Dial("SIP/31-00000005", "SIP/**600@fbfgateway3") in new stack
[Sep  4 21:47:50] WARNING[3788][C-00000006]: app_dial.c:2507 dial_exec_full: Unable to create channel of type 'SIP' (cause 20 - Subscriber absent)
[Sep  4 21:47:50]   == Everyone is busy/congested at this time (1:0/0/1)
[Sep  4 21:47:50]     -- Auto fallthrough, channel 'SIP/31-00000005' status is 'CHANUNAVAIL'

Ich hab aber an den nat= qualify= usw noch nichts geändert.

Was ist denn nun mit dem NAT gemeint? Brauch ich das in der sip.config, wenn der Asterisk im Client-Netz hängt und sich an der Master-FB registrieren soll oder nicht?


EDIT:
Hab jetzt den ganzen Asterisk mal neu gestartet... qualify= wurde auskomentiert. Egal ob mit oder ohne nat, jetzt kommt beim Anruf auf deine beiden Test-extens garnichts... Hörer komplett lautlos, auf der Asterisk CLI kommt irgendwann ein Timeout "Retransmission Timeout reached on transmission ..." "Packet timed out after 32000ms with no response..."


Somit bleibt festzuhalten, weder die Client-FB noch der Asterisk aus dem *.50.* Netz kann sich an der Master-FB anmelden.

 

[koyaanisqatsi]

Ja, NATs sind knifflig, und Asterisk braucht da ein paar Infos um mit umgehen zu können.

1. Asterisk im 2. NAT muss deine lokalen 2. NAT Netze kennen, und bei Doppel NAT fängt das Internet im 1. NAT an.
2. Asterisk braucht mindestens eine SIP Freigabe ( Extern UDP 5070* z.B. ) fürs 1. NAT.
3. Geräte im 1. NAT können Asterisk nur über diese Freigabe erreichen.

Zu 1) - Dafür gibts ein oder mehrere localnet= (sip.conf [general])
Wichtig: Das 1. NAT gehört nicht dazu
Zu 2) - Firewall und abweichende Portnummer für SIP
Zu 3) - NAT Erkennung einschalten mit: externaddr=1.nat.ip:portnummer (sip.conf [general])

Schätze das wird auch eine "Guru Meditation", sowas ( SIP & Doppel NAT ) vermeidet man lieber


* 5060 UDP/TCP hat die FRITZ!BOX schon für SIP
Beispiel (sip show settings)

Network Settings:
---------------------------
  SIP address remapping:  Enabled using externaddr
  Externhost:             <none>
  Externaddr:             192.168.1.20:5070
  Externrefresh:          180
  Localnet:               192.168.50.0/255.255.255.0

So erkennt Asterisk eine Doppel NAT Situation

 

[Bib]

Was ich noch erwähnen möchte: In der Master-FB hab ich seit einiger Zeit die Client-FB als Exposed-Host eingetragen. Ich kann aus dem Client-Netz ohne Probleme auf alle Geräte im Master-Netz zugreifen, auch schon vor dem Exposed-Host-Eintrag.

(Ich weiß, dass die Master-FB trotzdem den Port 5060 für sich blockiert...)


Bevor ich da jetzt mit NAT usw ewig rumhantiere, wäre es nicht einfacher, zwischen den beiden Fritzboxen ein VPN aufzubauen? Ich bekomme eine zusätzliche Telekom-Rufnummer über eine externe Fritzbox, die per VPN mit meiner Client-FB verbunden ist und diese Rufnummer kann ich sowohl in meiner Client-FB als auch im Asterisk problemlos hinterlegen.


________________

Um die ganzen Asterisk-Probleme zu umgehen, wäre es nicht einfacher, die Master-FB-Telefon-Nr in die Client-FB reinzubekommen? Dann ist die für den Asterisk ja ohne Probleme erreichbar. Vielleicht ist das einfacher zu bewerkstelligen als das ganze NAT/Doppel-NAT usw mit dem Asterisk?

 

[koyaanisqatsi]

Moin Moin

Um die ganzen Asterisk-Probleme zu umgehen, wäre es nicht einfacher, die Master-FB-Telefon-Nr in die Client-FB reinzubekommen?

Klar ist das einfacher.

BTW: Was glaubst du wohl, wielange ich für diese NAT Geschichte gebraucht hab, um da einigermassen durchzublicken?

Eine Impression kriegste aber noch
Mein 1. NAT ist ganz simple die *.178.* und das 2. NAT die *.188.*
Die Peerkonfig (sip.conf)

[gateway](!)                                                                                                
type=peer                                                                                                
canreinvite=no                                                                                          
dtmfmode=rfc2833                                                                        
allow=!all,g722,alaw,ulaw                                                                          
qualify=120000                                                                                  
                                                                                                           
[fbfgateway0](gateway)                                                                                        
host=192.168.188.1                                                                                              
directmedia=yes                                                                                                    
description=FBFGateway_NAT2                                                                                            
authuser=koyaanisqatsi                                                                                              
secret=dasistdasendederwelt                                                                                            
defaultuser=koyaanisqatsi                                                                        
fromuser=koyaanisqatsi                                                                                            
fromdomain=fritz.box                                                                              
transport=tcp                                                                                  
                                                                             
[fbfgateway1](gateway)                                                                            
host=192.168.178.1                                                                            
directmedia=no                                                                                      
description=FBFGateway_NAT1                                                                    
authuser=koyaanisqatsi                                                          
secret=dasistdasendederwelt                                                                        
fromuser=koyaanisqatsi                                                                        
defaultuser=koyaanisqatsi                                                                  
fromdomain=fritz.box                                                                
transport=tcp

Mit 2 minütigen qualify= siehts dann so aus...
(sip show peers)

fbfgateway0/koyaanisqatsi 192.168.188.1                               Auto (No)  No             5060     OK (7 ms)   FBFGateway_NAT2
fbfgateway1/koyaanisqatsi 192.168.178.1                               Auto (No)  No             5060     OK (32 ms)  FBFGateway_NAT1

Eine Verbindung zum AB über [fbfgateway1] ( 2. NAT <--> 1. NAT )

[Sep  5 09:13:08]   == Using SIP RTP CoS mark 5
[Sep  5 09:13:08]        > 0xb4249c00 -- Strict RTP learning after remote address set to: 192.168.188.11:7104
[Sep  5 09:13:08]     -- Executing [600@osmc:1] Dial("SIP/1008-0000005b", "SIP/**600@fbfgateway1") in new stack
[Sep  5 09:13:08]   == Using SIP RTP CoS mark 5
[Sep  5 09:13:08]     -- Called SIP/**600@fbfgateway1
[Sep  5 09:13:09]        > 0x11af908 -- Strict RTP learning after remote address set to: 192.168.178.1:7090
[Sep  5 09:13:09]     -- SIP/fbfgateway1-0000005c is making progress passing it to SIP/1008-0000005b
[Sep  5 09:13:09]        > 0x11af908 -- Strict RTP learning after remote address set to: 192.168.178.1:7090
[Sep  5 09:13:09]     -- SIP/fbfgateway1-0000005c answered SIP/1008-0000005b
[Sep  5 09:13:09]     -- Channel SIP/fbfgateway1-0000005c joined 'simple_bridge' basic-bridge <de7cfd65-9ddc-4ae2-b400-e9abe8a20c4f>
[Sep  5 09:13:09]     -- Channel SIP/1008-0000005b joined 'simple_bridge' basic-bridge <de7cfd65-9ddc-4ae2-b400-e9abe8a20c4f>
[Sep  5 09:13:09]        > 0xb4249c00 -- Strict RTP switching to RTP target address 192.168.188.11:7104 as source
[Sep  5 09:13:09]        > 0x11af908 -- Strict RTP switching to RTP target address 192.168.178.1:7090 as source
[Sep  5 09:13:10]        > 0xb4249c00 -- Strict RTP learning complete - Locking on source address 192.168.188.11:7104
[Sep  5 09:13:10]        > 0x11af908 -- Strict RTP learning complete - Locking on source address 192.168.178.1:7090
[Sep  5 09:13:26]     -- Channel SIP/1008-0000005b left 'simple_bridge' basic-bridge <de7cfd65-9ddc-4ae2-b400-e9abe8a20c4f>
[Sep  5 09:13:26]     -- Channel SIP/fbfgateway1-0000005c left 'simple_bridge' basic-bridge <de7cfd65-9ddc-4ae2-b400-e9abe8a20c4f>
[Sep  5 09:13:26]   == Spawn extension (osmc, 600, 1) exited non-zero on 'SIP/1008-0000005b'
[Sep  5 09:13:26]     -- Executing [h@osmc:1] Goto("SIP/1008-0000005b", "whitelist,h,1") in new stack
[Sep  5 09:13:26]     -- Goto (whitelist,h,1)
[Sep  5 09:13:26]     -- Executing [h@whitelist:1] Verbose("SIP/1008-0000005b", "1,h@whitelist: <sip:1008@osmc>;tag=EEgIyex3m8WQVZUbSzPIWQ7GTS1uvv8T WITH 16 ANSWER") in new stack
[Sep  5 09:13:26]  h@whitelist: <sip:1008@osmc>;tag=EEgIyex3m8WQVZUbSzPIWQ7GTS1uvv8T WITH 16 ANSWER

Die Umschreibung der NAT IPs siehst du ihm "Matrix Modus" mit "sip set debug on"
Technik: Es sind keine Freigaben für RTP ( Audio ) von Nöten, Asterisk übernimmt das "von Innen nach Außen" Portöffnen und teilt das im SDP ( SIP, RTP-Aushandlung ) mit

Bei der typischen Antwort auf ein qualify ( OPTIONS Anfrage ) siehstes auch im From:

[Sep  5 09:57:09] SIP/2.0 401 Unauthorized
[Sep  5 09:57:09] Via: SIP/2.0/TCP 192.168.178.20:5060;branch=z9hG4bK0b98699a
[Sep  5 09:57:09] From: "asterisk" <sip:[email protected]>;tag=as16b25b7b
[Sep  5 09:57:09] To: <sip:192.168.178.1>;tag=8F8886BA31619A13
[Sep  5 09:57:09] Call-ID: [email protected]:5060
[Sep  5 09:57:09] CSeq: 102 OPTIONS
[Sep  5 09:57:09] Contact: <sip:[email protected]>
[Sep  5 09:57:09] WWW-Authenticate: Digest realm="fritz.box", nonce="B403522323F8A7A1"
[Sep  5 09:57:09] User-Agent: FRITZ!OS
[Sep  5 09:57:09] Content-Length: 0

Hier müsste eigentlich auch die 5070 auftauchen und nicht 5060 ( Bug oder Fehlkonfiguration? ), zum Glück ist das aber bei OPTIONS nicht weiter relevant.

 

[Bib]

Ich werde das mit dem "Asterisk direkt an Master-FB" bei ganz viel übriger Zeit mal weiter probieren.

Aber vorerst sind wir dann genau wieder beim Problem aus dem ersten Thread, nämnlich dass sich die Client-FB nicht am IP-Telefon von der Master-FB anmelden kann.

Das wird in der Client-FB unter "eigene Rufnummern" nicht grün. Name/Kennwort hab ich aus der Asterisk-Config rauskopiert, also Tippfehler kann ich ausschließen. IP-Adressen passen auch soweit. Ich mach das ja nicht zum ersten mal, ich habs ja mit einer VPN-Fritzbox und einem Swyx Server im Büro bereits erfolgreich am laufen.

Woran könnte das dann noch liegen? Ist das auch ein NAT-Problem? Hilft hier der Exposed-Host nicht weiter oder hat das damit überhaupt nichts zu tun?

EDIT:
Ich hab gestern alles gelöscht und mach nochmal alles neu von vorne in den beiden Fritzboxen...

 

[koyaanisqatsi]

Bei der Expost Host Freigabe gewinnt die FRITZ!BOX beim Port 5060, da sie den erst gar nicht für Asterisk freigibt.
Auch hab ich mir angewöhnt, den Registrar für FRITZ!BOXEN immer "fritz.box" zu Benennen und die Adressierung über den "Proxy" zu erledigen.
Beispiel: 2. NAT FRITZ!BOX meldet VoIP Nummer an 1. NAT FRITZ!BOX (angelegtes IP-Telefon) an

 

[Bib]

Die Client-FB soll ja auch gewinnen, weil der Asterisk die externen Rufnummern nicht selbst registriert, sondern immer entweder eine Fritzbox oder eine Telefonanlage davor ist, die das übernimmt.

Hab jetzt alles nochmal neu in beiden Fritzboxen eingegeben. Egal ob ich das mit fritz.box und IP:5060 so wie in deinem Screenshot oder einfach nur mit der IP ohne Proxy mache, jedesmal bekomme ich im Client-FB-Log folgendes:

Anmeldung der Internetrufnummer nicht erfolgreich - Gegenstelle antwortet nicht, Zeitüberschreitung...

Ich hab als Benutzername Testuser1 genommen, als Passwort geheim!99. Als Rufnummer in der Client-FB in beiden Feldern meine MSN ohne Vorwahl.

 

[koyaanisqatsi]

Hm, keine Ahnung was bei dir Anders ist, vielleicht auf IPv4 festnageln?
... (Internettelefonie-Anbieter kontaktieren über) ...ganz Unten in der Nummernkonfiguration

 

[Bib]

Beide Fritzboxen sind eh auf IPv4 only eingestellt. Du meinst das Feld "Verbindung über eine Internetverbindung..." oder so ähnlich... Das hab ich schon aktiviert gehabt und ebenso ohne getestet. Keine Änderung.

Nach wie vor "Zeitüberschreitung...".


Muss ich der Client-FB nicht irgendwie sagen, dass die fremde lokale IP übers Internet - von Ihrer sicht aus gesehen - laufen soll? Der IP-Bereich ist ja anders als das lokale Client-Netz. Irgendwie eine Route vorgeben oder so?

--

Jetzt langsam wirds unheimlich...

Ich war jetzt für ca. 15min weg und urplötzlich ist seit 1 min eine Meldung im FB-Log, dass alle Verbindungen verfügbar seien...

Ich hab als Benutzername meine MSN mit Vorwahl eingestellt bei beiden Boxen und dann in der Client-Box sowohl den Haken gesetzt bei "Mit Rufnummer anmelden" als auch ohne... Aktuell ist der Haken nicht drin. Ging aber dann auch nicht.


Und jetzt auf einmal gehts??? Benutzername kann doch "Testuser1" sein? Das muss doch nicht zwingen eine Nummer sein? Bei den Asterisk-Gateways hab ich ja auch Buchstaben mit dabei.

 

[koyaanisqatsi]

Die Rufnummernbenennung ist erstmal nicht so wichtig wie die Anmeldung mit korrekten Benutzernamen, da die zugeteilte Nummer eines angelegten IP-Telefons änderbar oder erweiterbar ist.
Das nutzen von Benutzernamen in Form von Telefonnummern hat sich halt "eingebürgert", da kaum ein Nutzer einen Namen "wählt" oder "wählen kann", weil auch viele Endgeräte das nicht vorsehen.
Dabei hat ein eindeutiger Benutzername inklusive @ und Servername den Vorteil mit einer EMail.Adresse verwechselt zu werden
Asterisk kennt schliesslich auch nicht die Nummer, die sich hinter einem register= verbirgt, Asterisk nutzt halt was der Anbieter des register= diesen Benutzer zugewiesen hat.

FRITZ!BOX Peer in Asterisk
Da kannste schliesslich auch eine Vorauswahl nehmen, egal welche Nummer dem IP-Telefon in der F!B zugewiesen wurde.
...sogar, wenn dem IP-Telefon nachträglich alle Nummern weggenommen werden.
Beispiel: *121#[Zielnummer] <-- Damit wird über die erste in der Box eingerichtete Nummer rausgewählt

 

[Bib]

Hab den vorherigen Benutzernamen Testuser1 und ein anderes Passwort vergeben, ist immer noch online.

 

[koyaanisqatsi]

Meinst du jetzt in sip show peers?
Dann liegts auschließlich am qualify=120000 - Der Anruf über den Peer muss klappen.
Wenn das klappt, klappts auch ohne qualify=120000.

 

[Bib]

Nö, habs in Asterisk jetzt komplett raus und nur noch in der FB probiert. Die Rufnummer ist nach wie vor grün (bzw. der kleine Punkt davor...).

 

[koyaanisqatsi]

Also 2. NAT F!B Telefonnummer <--> 1. NAT F!B "IP-Telefon"
Wenn du jetzt diese Telefonnummer einem angelegten IP-Telefon der 2. NAT F!B zuweist und im 2. NAT Asterisk einen Peer dafür anlegst, kommste auch ins 1. NAT mit Asterisk ohne konfigurierter "NAT Erkennung" und Portfreigabe.