openVPN - Siproxd - VOIP nur abgehende Telefonie

[shoal]

Hallo an Alle,

betreibe hinter einer Fritzbox zur Absicherung des LAN die OPNsens.
Hinter der OPNsense sind SIP-Telefone die sich über den Siproxd an der Fritzbox anmelden.
Zusätzlich ist noch eine User über openVPN (S2S) angebunden.
Auch hier meldet sich das SIP-Telefon korrekt an und es ist möglich abgehende Gespräche (intern und extern) zu führen.
Leider werden ankommende Gespräche nicht zu dieser Nebenstelle durchgestellt.
Hat jemand eine Idee um dieses Problem zu Lösen?
Danke.
Gruß
Shoal

[NicholasRush]

Evtl. eine Firewallregel auf dem OpenVPN Interface? Es kommt auch darauf an, was im Siproxd an Internen Netzen Eingetragen ist. Dort sollte das OpenVPN Netz mit rein.

Gruß
NR

[mimugmail]

Kann man bei siproxd also dem Programm, nicht dem Plugin, mehrere Interfaces angeben?
Wir haben hier nur ein Dropdown field .. das müsste ich dann in multi_select ändern ...

[shoal]

Hallo,
danke für die Antworten hier meine Einstellungen:

Verwendete Netze:
Netz Rot_extern           192.168.178.0 /24
Netz Gruen_Intern       172.16.10.0/24
openVPN                       10.10.10.0 /24
Netz-Remote                172.16.21.0 /24


Die siproxd Konfiguration habe ich weitgehend unverändert gelassen :
Aktiviere den siproxd-Dienst                            aktiv
Inbound interface                                              Gruen_Intern
Outbound interface                                          Rot_Extern
Host outbound
Hosts to allow registration
Hosts to allow SIP
Host to deny SIP
SIP listen port                                                      5060
RTP port low                                                        32100
RTP port high                                                      32199
RTP timeout                                                        300
RTP DSCP                                                            46
SIP DSCP                                                             0
RTP input dejitter                                               0
RTP output dejitter                                            0
Aktiviere Proxyauthentifizierung
TCP timeout                                                       600
TCP connect timeout                                       500
TCP keepalive                                                    20
Useragent string
Remote ports in VIA-Header                          Do not add ;rport to via header(0)
Enable defaulttarget plugin
Enable defaulttarget logging
Standardzielkonto
Aktiviere fix_bogus_via Erweiterung
Networks to replace VIA-Header                     10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
Aktiviere fix_DTAG_networks Erweiterung
DTAG-Server                                                         217.0.23.100/32
Enable fbox_anoncall_networks plugin
Network list for fbox anoncall plugin              10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
Aktiviere STUN-Erweiterung
STUN server
STUN port
STUN period

Regel FW auf dem VPN Interface:
   Voller zugriff von VPN nach  Gruen_Intern
   Eingeschränkter Zugriff des Remote-Netzes nach Extern.

Gruß
Shoal

[NicholasRush]

Kann man bei siproxd also dem Programm, nicht dem Plugin, mehrere Interfaces angeben?
Wir haben hier nur ein Dropdown field .. das müsste ich dann in multi_select ändern ...

Leider geht das noch nicht. Ich beobachte das Siproxd Projekt schon sehr lange. Aber Multiple Interfaces scheinen dort wohl nicht geplant zu sein. Alternativ scheint das ganze aber auch so über die festgelegten IP-Adressen zu laufen. Ich meine hier die Einstellung: "Hosts to allow registration". Alles andere was hier nicht eingetragen ist, sollte automatisch als WAN gewertet werden.

@shoal

Setze mal "Remote ports in VIA-Header" auf "do add ;rport to OUTGOING and INCOMING via headers"

Und probiere es dann nochmal.

[shoal]

Habe den Eintrag Remote ports in VIA-Header im Siproxd auf den beschriebenen wert geändert.
Um sicher zu sein habe ich siproxd und das Telefon neue gestartet leider keine Änderung nur abgehende Gespräche möglich.

[NicholasRush]

Was ist denn das für ein Telefonmodell was du da über OpenVPN angebunden hast?

Es gibt nämlich die Möglichkeit bei einigen IP-Telefonen nur abgehende Gespräche zuzulassen.

Gruß
NR

[shoal]

Es handelt sich um snom320-SIP mit der Firmware 8.7.5.35.
Wenn ich es im Grünen Netz betreibe kommen auch anrufe auf dem Gerät an.

Gruß
Shoal

[mimugmail]

Du müsstest ja eigentlich OpenVPN Interface als outbound nic setzen oder?

[shoal]

Das habe ich versucht es bewirkt keine Änderung.

Gruß
Shoal

[mimugmail]

Ne, in der Konstellation müsste es inbound sein, oder probier mal die Verbindungen von OpenVPN auf Fritzbox auf die LAN IP der OPN zu natten

[shoal]

Nachtrag zum OpenVPN Interface als outbound.
Es gibt doch eine Auswirkung nämlich das RTP nicht durchgestellt wird.

Inbound interface:        Select the interface where your SIP requests come from.      Grün bzw. Remote/VPN
Outbound interface:     Select the interface where your SIP requests are going to.    Rot wo die Fritzbox steht.

Das mit dem NAT muss ich mir anschauen.
Gruß
Shoal

[NicholasRush]

Normalerweise werden im Sip Header die Ports für den RTP Stream ausgehandelt. Und zwar jedes mal bei einem Verbindungsaufbau. Und in einem SDP Informationspaket im "Body" von SIP Zusammengefasst. Ich bin allerdings momentan auch den Siproxd Quelltext am durchforsten, welche Aufgabe nun Inbound und Outbound Interface wirklich haben.

Für das Siproxd Plugin habe ich nur deren Anleitung verarbeitet. Aber die ist ohne etwas Grundwissen was Sip ist und wie es funktioniert auch nicht wirklich hilfreich zur Siproxd Konfiguration. Zumindest nicht in diesem Fall.

Nachtrag: RTP läuft immer durch Siproxd. Eben wegen dem NAT-Traversal was sonst nötig wäre.

[Emma2]

Normalerweise werden im Sip Header die Ports für den RTP Stream ausgehandelt. Und zwar jedes mal bei einem Verbindungsaufbau.

Allerdings, zumindest meiner - zugegeben geringen - Erfahrung nach, geht das nicht immer ganz ordentlich zu:
Die Telekomiker machen sowieso kein "richtiges VoIP", und Sipgate nimmt einfach einen "Ersatzport", falls er auf dem ausgehandelten nicht durchkommt (Details bei Bedarf gerne).

[shoal]

Habe mir im Live View angeschaut wie die Kommunikation mit denn SIP-Telefone aussieht.

Dabei ist mir folgendes aufgefallen:
Das SIP-Telefon im Grünen Netz
Quelle die IP-Adresse : 172.16.10.243:5060
Ziel IP-Adresse der Telefons: 172.16.10.254:5260
Das habe ich auch erwartet.

Des Remote SIP-Telefon
Quelle die IP-Adresse des VPN-Tunnels: 10.10.10.1:5060
Ziel IP-Adresse der Telefons: 172.16.21.12:5360

Müsste hier auch nicht die 172.16.10.243 als Quelle auftauchen, da dem siproxd das Grüne Netz als Inbound interface zugewiesen wurde?

Auch den SIP-Telefonen wurde die 172.16.10.243 als Proxy mitgeteilt. Das
Remote Telefon wird aber bei eine eingehenden Anruf aber dann von der 10.10.10.1 angesprochen, die es nicht kennt.

Hier das  SIP-Trace für ein ankommenden Anruf auf Remote und Grün.

SIP-Trace des Remote-Telefons sehe ich folgende Meldungen:

Received from udp:10.10.10.1:5060 at Dec 11 11:14:49 (1470 bytes):
INVITE sip:621@172.16.21.12:5360;line=qov3zmdx SIP/2.0
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK3daa1042350216aa0a7a1b066f5f756c;rport
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bK68AA796F906220C3
Record-Route: <sip:siproxd@172.16.10.243:5060;lr>
From: "00620_Küche" <sip:**620@fritz.box>;tag=02415F1D7513CCD9
To: <sip:621@192.168.178.242>;reg-id=1;q=1.0;+sip.instance="<urn:uuid:53d48a34-aaad-4592-8d21-0004132453C9>";audio;mobility="fixed";duplex="full";description="snom320";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO"
Call-ID: 21501CA9F5C0E6C2@192.168.178.1
CSeq: 41 INVITE
Contact: <sip:A8EDF8F37D60B42EEAD5BC5BF2A9A@192.168.178.1>
Content-Type: application/sdp
Allow: INVITE
Allow: ACK
Allow: OPTIONS
Allow: CANCEL
Allow: BYE
Allow: UPDATE
Allow: PRACK
Allow: INFO
Allow: SUBSCRIBE
Allow: NOTIFY
Allow: REFER
Allow: MESSAGE
Allow: PUBLISH
Accept: application/sdp
Accept: multipart/mixed
Accept-Encoding: identity
Max-forwards: 69
Expires: 120
User-agent: AVM FRITZ!Box 6490 Cable (kdg) 141.06.87 TAL (Nov 20 2017)
Supported: 100rel
Supported: replaces
Supported: timer
Allow-events: telephone-event
Allow-events: refer
Content-Length: 199

v=0
o=user 8933799 8933799 IN IP4 172.16.10.243
s=call
c=IN IP4 172.16.10.243
t=0 0
m=audio 32170 RTP/AVP 9 8 0 101
a=sendrecv
a=rtpmap:101 telephone-event/8000
a=fmtp:101 0-15
a=rtcp:7095

_______________________________________________________________________________
Sent to udp:10.10.10.1:5060 at Dec 11 11:14:49 (860 bytes):
SIP/2.0 403 Use Proxy
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK3daa1042350216aa0a7a1b066f5f756c;rport=5060;received=10.10.10.1
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bK68AA796F906220C3
From: "00620_K%C3%BCche" <sip:**620@fritz.box>;tag=02415F1D7513CCD9
To: <sip:621@192.168.178.242>;reg-id=1;q=1.0;+sip.instance="<urn:uuid:53d48a34-aaad-4592-8d21-0004132453C9>";audio;mobility="fixed";duplex="full";description="snom320";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO"
Call-ID: 21501CA9F5C0E6C2@192.168.178.1
CSeq: 41 INVITE
User-Agent: snom320/8.7.5.35
Allow: INVITE, ACK, CANCEL, BYE, REFER, OPTIONS, NOTIFY, SUBSCRIBE, PRACK, MESSAGE, INFO, UPDATE
Allow-Events: talk, hold, refer, call-info
Supported: timer, 100rel, replaces, from-change
Content-Length: 0

________________________________________________________________________________
Received from udp:10.10.10.1:5060 at Dec 11 11:14:49 (782 bytes):
ACK sip:621@172.16.21.12:5360;line=qov3zmdx SIP/2.0
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK3daa1042350216aa0a7a1b066f5f756c;rport
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bK68AA796F906220C3
Record-Route: <sip:siproxd@172.16.10.243:5060;lr>
From: "00620_K%C3%BCche" <sip:**620@fritz.box>;tag=02415F1D7513CCD9
To: <sip:621@192.168.178.242>;reg-id=1;q=1.0;+sip.instance="<urn:uuid:53d48a34-aaad-4592-8d21-0004132453C9>";audio;mobility="fixed";duplex="full";description="snom320";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO"
Call-ID: 21501CA9F5C0E6C2@192.168.178.1
CSeq: 41 ACK
User-agent: AVM FRITZ!Box 6490 Cable (kdg) 141.06.87 TAL (Nov 20 2017)
Max-Forwards: 70
Content-Length: 0


Zum Vergleich das Telefon im Grünen Netz:

Received from Udp:172.16.10.243:5060 on Udp:172.16.10.254:5260 at Dec 11 11:08:23.944 (1472 bytes):
INVITE sip:623@172.16.10.254:5260;line=wd04wbuh SIP/2.0
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK6b5fc7e3209ca9c8adc7c4e6bce710ac;rport
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bKF1DC27293E1C65B3
Record-Route: <sip:siproxd@172.16.10.243:5060;lr>
From: "00620_Küche" <sip:**620@fritz.box>;tag=D4B927788588531F
To: <sip:623@192.168.178.242>;q=1.0;reg-id=1;+sip.instance="<urn:uuid:b1fea077-0065-4cb3-88fb-00041389225B>";audio;mobility="fixed";duplex="full";description="snom710";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO"
Call-ID: 432DD00508830438@192.168.178.1
CSeq: 122 INVITE
Contact: <sip:A8EDF8F37D60B42EEAD5BC5BF2A9A@192.168.178.1>
Content-Type: application/sdp
Allow: INVITE
Allow: ACK
Allow: OPTIONS
Allow: CANCEL
Allow: BYE
Allow: UPDATE
Allow: PRACK
Allow: INFO
Allow: SUBSCRIBE
Allow: NOTIFY
Allow: REFER
Allow: MESSAGE
Allow: PUBLISH
Accept: application/sdp
Accept: multipart/mixed
Accept-Encoding: identity
Max-forwards: 69
Expires: 120
User-agent: AVM FRITZ!Box 6490 Cable (kdg) 141.06.87 TAL (Nov 20 2017)
Supported: 100rel
Supported: replaces
Supported: timer
Allow-events: telephone-event
Allow-events: refer
Content-Length: 199

v=0
o=user 2913810 2913810 IN IP4 172.16.10.243
s=call
c=IN IP4 172.16.10.243
t=0 0
m=audio 32168 RTP/AVP 9 8 0 101
a=sendrecv
a=rtpmap:101 telephone-event/8000
a=fmtp:101 0-15
a=rtcp:7087

Sent to Udp:172.16.10.243:5060 from Udp:172.16.10.254:5260 at Dec 11 11:08:23.988 (771 bytes):
SIP/2.0 100 Trying
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK6b5fc7e3209ca9c8adc7c4e6bce710ac;rport=5060
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bKF1DC27293E1C65B3
Record-Route: <sip:siproxd@172.16.10.243:5060;lr>
From: "00620_Küche" <sip:**620@fritz.box>;tag=D4B927788588531F
To: <sip:623@192.168.178.242>;q=1.0;reg-id=1;+sip.instance="<urn:uuid:b1fea077-0065-4cb3-88fb-00041389225B>";audio;mobility="fixed";duplex="full";description="snom710";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO";tag=fvmt5yndps
Call-ID: 432DD00508830438@192.168.178.1
CSeq: 122 INVITE
User-Agent: snom710/8.9.3.60
Contact: <sip:623@172.16.10.254:5260;line=wd04wbuh>;reg-id=1
Content-Length: 0

Sent to Udp:172.16.10.243:5060 from Udp:172.16.10.254:5260 at Dec 11 11:08:24.031 (940 bytes):
SIP/2.0 180 Ringing
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK6b5fc7e3209ca9c8adc7c4e6bce710ac;rport=5060
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bKF1DC27293E1C65B3
Record-Route: <sip:siproxd@172.16.10.243:5060;lr>
From: "00620_Küche" <sip:**620@fritz.box>;tag=D4B927788588531F
To: <sip:623@192.168.178.242>;q=1.0;reg-id=1;+sip.instance="<urn:uuid:b1fea077-0065-4cb3-88fb-00041389225B>";audio;mobility="fixed";duplex="full";description="snom710";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO";tag=fvmt5yndps
Call-ID: 432DD00508830438@192.168.178.1
CSeq: 122 INVITE
User-Agent: snom710/8.9.3.60
Contact: <sip:623@172.16.10.254:5260;line=wd04wbuh>;reg-id=1
Require: 100rel
RSeq: 1
Allow: INVITE, ACK, CANCEL, BYE, REFER, OPTIONS, NOTIFY, SUBSCRIBE, PRACK, MESSAGE, INFO, UPDATE
Allow-Events: talk, hold, refer, call-info
Content-Length: 0

Received from Udp:172.16.10.243:5060 on Udp:172.16.10.254:5260 at Dec 11 11:08:24.107 (819 bytes):
PRACK sip:623@172.16.10.254:5260;line=wd04wbuh SIP/2.0
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK8a057d76e6ded591bd5b0e953fd2167b;rport
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bKADD16B2255670126
Record-Route: <sip:siproxd@172.16.10.243:5060;lr>
From: "00620_Küche" <sip:**620@fritz.box>;tag=D4B927788588531F
To: <sip:623@192.168.178.242>;q=1.0;reg-id=1;+sip.instance="<urn:uuid:b1fea077-0065-4cb3-88fb-00041389225B>";audio;mobility="fixed";duplex="full";description="snom710";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO";tag=fvmt5yndps
Call-ID: 432DD00508830438@192.168.178.1
CSeq: 123 PRACK
Rack: 1 122 INVITE
Max-forwards: 69
User-agent: AVM FRITZ!Box 6490 Cable (kdg) 141.06.87 TAL (Nov 20 2017)
Content-Length: 0

Sent to Udp:172.16.10.243:5060 from Udp:172.16.10.254:5260 at Dec 11 11:08:24.141 (766 bytes):
SIP/2.0 200 Ok
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK8a057d76e6ded591bd5b0e953fd2167b;rport=5060
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bKADD16B2255670126
Record-Route: <sip:siproxd@172.16.10.243:5060;lr>
From: "00620_Küche" <sip:**620@fritz.box>;tag=D4B927788588531F
To: <sip:623@192.168.178.242>;q=1.0;reg-id=1;+sip.instance="<urn:uuid:b1fea077-0065-4cb3-88fb-00041389225B>";audio;mobility="fixed";duplex="full";description="snom710";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO";tag=fvmt5yndps
Call-ID: 432DD00508830438@192.168.178.1
CSeq: 123 PRACK
User-Agent: snom710/8.9.3.60
Contact: <sip:623@172.16.10.254:5260;line=wd04wbuh>;reg-id=1
Content-Length: 0

Received from Udp:172.16.10.243:5060 on Udp:172.16.10.254:5260 at Dec 11 11:08:43.008 (921 bytes):
CANCEL sip:623@172.16.10.254:5260;line=wd04wbuh SIP/2.0
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK6b5fc7e3209ca9c8adc7c4e6bce710ac;rport
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bKF1DC27293E1C65B3
Record-Route: <sip:siproxd@172.16.10.243:5060;lr>
From: "00620_Küche" <sip:**620@fritz.box>;tag=D4B927788588531F
To: <sip:623@192.168.178.242>;q=1.0;reg-id=1;+sip.instance="<urn:uuid:b1fea077-0065-4cb3-88fb-00041389225B>";audio;mobility="fixed";duplex="full";description="snom710";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO"
Call-ID: 432DD00508830438@192.168.178.1
CSeq: 122 CANCEL
Reason: Q.850; cause=16
Max-forwards: 69
User-agent: AVM FRITZ!Box 6490 Cable (kdg) 141.06.87 TAL (Nov 20 2017)
Supported: 100rel
Supported: replaces
Supported: timer
Allow-events: telephone-event
Allow-events: refer
Content-Length: 0

Sent to Udp:172.16.10.243:5060 from Udp:172.16.10.254:5260 at Dec 11 11:08:43.041 (654 bytes):
SIP/2.0 200 OK
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK6b5fc7e3209ca9c8adc7c4e6bce710ac;rport=5060
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bKF1DC27293E1C65B3
From: "00620_Küche" <sip:**620@fritz.box>;tag=D4B927788588531F
To: <sip:623@192.168.178.242>;q=1.0;reg-id=1;+sip.instance="<urn:uuid:b1fea077-0065-4cb3-88fb-00041389225B>";audio;mobility="fixed";duplex="full";description="snom710";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO";tag=fvmt5yndps
Call-ID: 432DD00508830438@192.168.178.1
CSeq: 122 CANCEL
User-Agent: snom710/8.9.3.60
Content-Length: 0

Sent to Udp:172.16.10.243:5060 from Udp:172.16.10.254:5260 at Dec 11 11:08:43.059 (732 bytes):
SIP/2.0 487 Request Terminated
Via: SIP/2.0/UDP 172.16.10.243:5060;branch=z9hG4bK6b5fc7e3209ca9c8adc7c4e6bce710ac;rport=5060
Via: SIP/2.0/UDP 192.168.178.1:5060;branch=z9hG4bKF1DC27293E1C65B3
From: "00620_Küche" <sip:**620@fritz.box>;tag=D4B927788588531F
To: <sip:623@192.168.178.242>;q=1.0;reg-id=1;+sip.instance="<urn:uuid:b1fea077-0065-4cb3-88fb-00041389225B>";audio;mobility="fixed";duplex="full";description="snom710";actor="principal";events="dialog";methods="INVITE,ACK,CANCEL,BYE,REFER,OPTIONS,NOTIFY,SUBSCRIBE,PRACK,MESSAGE,INFO";tag=fvmt5yndps
Call-ID: 432DD00508830438@192.168.178.1
CSeq: 122 INVITE
User-Agent: snom710/8.9.3.60
Contact: <sip:623@172.16.10.254:5260;line=wd04wbuh>;reg-id=1
Content-Length: 0