VoIP mit FritzBox 6490, OPNSense und SNOM M300

[ThePocky]

Guten Tag,

habe bereits einige Beiträge mit dem Thema VoIP und OPNSense durchgelesen, aber nicht wirklich erfolg beim Ausprobieren gehabt.

Folgender Aufbau:

INTERNET -> FRITZ!BOX 6490 (Unitymedia Modem) -> OPNSense

An meiner OPNSense sind unteranderem zwei SNOM M300 und eine FRITZ!BOX 7390 (Client, WLAN-AccessPoint) angeschlossen. In der 6490 sind die Rufnummern von Unitymedia Registriert. Dort habe ich dann für jede Rufnummer ein IP-Telefoniegerät hinzugefügt. Das habe ich gemacht, weil eine Registrierung der Rufnummern von anderen Geräten in der Vergangenheit nie funktioniert haben.

Nun habe ich als erstes versucht die Zugangsdaten der Telefoniegeräte direkt in der SNOM M300 einzutragen. Dazu dient die 6490 als Server (130.XXX.XX.XX). Leider wird immer ein SIP-Fehler angezeigt.

Um einen Fehler der SNOM M300 auszuschließen habe ich das gleiche bei der  7390 versucht. Geiles Resultat, es kann sich nicht angemeldet werden.

Nun kommt schnell der verdacht auf, dass die Firewall mir da einen strich durch die Rechnung macht.

Welche Regeln muss ich für die Firewall einstellen, damit dies funktioniert?

Würde mich über eine kleine Hilfestellung freuen.

Gruß
Björn

[JeGr]

> Nun habe ich als erstes versucht die Zugangsdaten der Telefoniegeräte direkt in der SNOM M300 einzutragen. Dazu dient die 6490 als Server (130.XXX.XX.XX). Leider wird immer ein SIP-Fehler angezeigt.

Warum 130.x.x.x? Macht keinen Sinn. Du willst mit deinem VoIP Telefon hinter der Sense an die FB, warum gehst du also nicht an die interne IP der FB die sie zur OPNSense hat? Oder läuft deine FB im Bridge Mode (was seltsam wäre, denn dann könnte sie kein VoIP mehr machen). Irgendwas passt also in deiner Aufzählung noch nicht ganz.

Normalerweise geht es auch recht einfach: zwischen FB und OPNsense liegt Netz A (Transfer) was meist 192.168.178.0/24 ist. Hinter der Sense ist Netz B - nehmen wir mal 172.16.42.0/24. Dann trägt man dieses Netz auf der Fritzbox als statische Route ein und als Ziel die OPNsense IP 192.168.178.x (WAN IP). Anschließend stellt man in der OPNsense unter Outbound NAT auf Hybrid und legt noch eine Regel an mit Source 172.16.42.0/LAN_net und Ziel 192.168.178.0/24 und setzt das auf NO NAT. Es soll also nicht genattet werden, die Geräte kommen mit ihrer echten IP an und werden nur geroutet. Ist das gesetzt, solltest du eine saubere Verbindung via VoIP hinbekommen (wenn vom LAN zur FB eine Regel existiert, die das erlaubt natürlich).

Grund warums meist nicht klappt: abgehend wird durchs NAT der abgehende Port randomisiert. Der SIP Port 5060/5061 bleibt dabei dann nicht 5060 sondern wird ein anderer. Das mag SIP/VoIP aber so gar nicht. Darum muss für SIP genauso wie bspw. für IPSECs Port 500/4500 eine Ausnahmeregelung rein, damit der Quellport nicht umgeschrieben wird sondern bestehen bleibt. Durch das Abschalten von NAT zur FB hin wird das ebenso erledigt und durch die Rückroute auf der Fritzbox weiß diese, wo sie die Pakete hinsenden soll (zur Sense).

Grüße