Ports

[VOIPmeNOW]

Hallo zusammen,

ich habe Asterisk 1.6 auf einem vServer im Internet installiert und nutze hinter meinem Router/meiner Firewall X-Lite als Softphone. Nun habe ich das Problem, dass die Signalisierung zwar funktioniert (X-Lite klingelt), aber die Sprachdaten gehen weder von, noch nach X-Lite durch, solange ich nicht alle Ports freigebe.

Daher folgende Fragen:

1.
Welche Ports werden bei der Nutzung von Asterisk verwendet?

2.
Welche Rechner (vServer / lokaler Rechner) sind davon betroffen und welche Ports müssen dort jeweils lediglich freigegeben, oder doch durchgeleitet werden?

3.
In der rtp.conf habe ich rtpstart=10000 und rtpend=20000 als Standardkonfiguration. Wo kommen diese Portnummern zum Tragen?

4.
Wenn ich auf der Asterisk cli "sip show peers" ausführe, haben meine peers wechselnde Portnummern von beispielsweise 47xxx. Wo wird der hier zur Verfügung stehende Wertebereich festgelegt?

Danke & Grüße.

 

[chaos2000]

wie sieht deine sip.conf aus?
Was hast du für nat gesetzt?

 

[VOIPmeNOW]

[general]
language=de
bindport=5060
context=default
canreinvite=no
tos=throughput
nat=yes
rtcachefriends=yes

alles andere ist in realtime konfiguriert.

 

[chaos2000]

aber da sind die settings auch wichtig.
Hast du qualify und nat an?

 

[VOIPmeNOW]

Werte in Tabelle "sip_users":

canreinvite=no
host=dynamic
nat=yes
type=friend

zum Thema qualify (http://www.voip-info.org/wiki/view/Asterisk+RealTime+Sip)

"For instance, a 1.6 version of Asterisk would not use the [...] 'qualify' [...] columns"


Aber nochmal zur Ausgangsfrage... Welche Ports sind denn tragend?

 

[IEEE]

Die Ports für die Medienübertragung können in der rtp.conf festgelegt werden. Sind sie das dort nicht, werden die Ports IMHO willkürlich ausgewählt. http://www.voip-info.org/wiki/view/Asterisk+config+rtp.conf

Es spricht aus meienr Sicht nichts dagegen diesen Bereich sehr übersichtlich zu halten (ich bin bisher auch bei großen Installationen mit einer Range von 100 ports ausgekommen) und auf Deiner firewall aufzumachen. Die Nutzung eines STUN Servers kann unter Umständen auch noch zur Besserung der Lage beitragen.

 

[VOIPmeNOW]

Mh, nach meiner Beobachtung werden eben auch Ports jenseits der 20000 vergeben.. Wieso dann also die Möglichkeit einen Bereich (default: 10000-20000) anzugeben?

 

[chaos2000]

rtp ports weiterzuleiten ist nicht nötig, wie soll das auch gehen wenn du mehrere clients in einem nated lan hast.
Das mit dem qualify stimmt nicht

 

[stinkstiefel]

Mh, nach meiner Beobachtung werden eben auch Ports jenseits der 20000 vergeben.

Was genau beobachtest du denn, Source Port oder Destination Port?

 

[VOIPmeNOW]

ich betrachte denjenigen Port, der bei dem "sip show peers"-Befehl ausgegeben wird.

 

[stinkstiefel]

Was soll das deiner Meinung nach für ein Port sein?

 

[chaos2000]

Das ist der sip source port

 

[IEEE]

Mh, nach meiner Beobachtung werden eben auch Ports jenseits der 20000 vergeben.. Wieso dann also die Möglichkeit einen Bereich (default: 10000-20000) anzugeben?

Wie schon von chaos2000 angemerkt sind das die Source Ports der Clients. Die wirst Du ohnehin nur schwer beeinflussen können. Entsprechend sollte Deine Firewall Traffic von innen nach aussen mit beliebigen Source Ports erlauben.

 

[stinkstiefel]

Warum soll die Firewall Traffic von innen nach aussen mit beliebigen Source Ports erlauben?

 

[IEEE]

Ich wollt hier eigentlich keine Firewall Diskussion an sich auslösen ;-)
Insofern revidiere ich meine Aussage von wegen "beliebige Ports", das muss jeder selbst wissen wie er das haben möchte.

Ergänzend möchte ich aber schon sagen das aus meiner Sicht Firewall Regeln von Innen nach Aussen sehr schwer an Source Ports aufzuhängen sind. Weil wenn ich hier auf meinem PC eine Website aufrufe (wenn ich mal http Traffic als Beispiel nehmen darf) dann können wir über die Verbindung nur eins vorausssagen: Den Destination Port (80, 443). Der Source Port ist höchst dynamisch und daher nicht mit Firewall Regeln zu erfassen. Das war es auf was ich raus wollte.

 

[stinkstiefel]

wenn ich mal http Traffic als Beispiel nehmen darf

Ja darfst du, Sip und HTTP sind ja sehr ähnlich. Allerdings kann man in aller Regel bei SIP z.B. den verwendeten RTP-Bereich einstellen. X-Lite verwendet per default glaube ich 8000 bis 80xy. Was der Router von VOIPmeNOW dann daraus macht ist ja wieder ein anderes Thema. Wenn man nun noch wüsste wie sein Setup ganz genau ausschaut und was er wie wo einstellen kann könnte man ihm bei seinem Problem vielleicht sogar helfen.

 

[VOIPmeNOW]

Es ist doch auch der Allgemeinheit mehr geholfen, wenn man die verwendeten Ports an einer allgemeinen Erklärung definiert. Ich weiss nicht, aber lässt sich nicht etwas in der Form

X-Lite braucht Ports 8000-8099
Asterisk braucht Ports 5060
Und darüberhinaus braucht es noch die Ports 1000,2000,3000

sagen?

 

[rmh]

Asterisk benötigt einen SIP-Port, den man in der sip.conf mittels bindport festlegt. Das ist typischerweise der Port 5060. Darüber hinaus werden mehrere RTP-Ports (zwei pro aktivem Sprachkanal) benötigt. Diese Portrange wird in der rtp.conf definiert und sollte, wie oben vorgeschlagen, übersichtlich gestaltet werden. Z.B. 10000-10100. Leider ist nicht klar ersichtlich, was du vor hast, bzw. wo welches Gerät steht. Die klassische NAT-Situation: Lokaler Asterisk und diverse Clients hinter einem NAT-Router: Router leitet SIP- und RTP-Ports an die lokale Asterisk LAN-IP weiter und hält die Verbindungen offen. Alle Clients registrieren sich am lokalen Asterisk. Die Ports der Clients sind in diesem Fall irrelevant, da die Pakte die Firewall nicht direkt passieren, sondern über den bereits berücksichtigten Asterisk laufen.

Gruß
R.

 

[stinkstiefel]

Bei VOIPmeNOW siehts vermutlich eher so aus. [Asterisk auf VSerer] öffentliche IP >>> <<< öffentliche IP [WAN (NAT-Router) LAN] >>> <<< [Client]. Informationen ob auf dem NAT-Router auch ausgehende Verbindungen erlaubt werden müssen oder beim VServer noch eine Firewall im Spiel ist fehlen gänzlich.

 

[VOIPmeNOW]

"stinkstiefel" hat Recht (sofern WAN durch den Internetzugangsprovider bereitgestellt wird):

[Asterisk auf VSerer] öffentliche IP >>> <<< öffentliche IP [WAN (NAT-Router) LAN] >>> <<< [Client mit X-Lite]