Fritzbox 7490 als Telefonanlage hinter OPNSense

[screwbox]

Hallo allemann. Ich bin ziemlich neu hier, aber nicht mehr so neu im Thema IT. OPNSense nutze ich erst seit kurzem, fand es immer schon interessant aber äußere Umstände (einzige Möglilchkeit auf einigermaßen gutes internet: Magenta Hybrid mit Huawei Router) haben mich davon abgehalten so richtig einzusteigen.

Das hat sich nun alles geändert und ich bin seit kurzem mit Glasfaser unterwegs. Zunächst mit einer Fritzbox 7490 die ich noch liegen hatte. Die war dank der Doku meines Anbieters (BiTel) auch schnell eingerichtet. Doku hier

Nun würde ich aber gerne mein schon wohl wissend das mich Glasfaser erreicht bestelltes Zimaboard mit OPNSense als Firewall nutzen. Aus meinem Job bin ich mit dem Umgang diverser Firewalls schon mit dem Umgang weitestgehend vertraut mit Natting, FW Rules, Static Routes, DPI etc. Und da möchte man natürlich nur ungerne daheim eine Fritzbox nutzen.

Wie ihr der verlinkten Doku entnehmen könnt bekomme ich von Bitel über ein ONT zwei VLANs übergeben. Einmal das VLAN 7 für eine PPPoE Einwahl und einmal VLAN 2222 für eine SIP Verbindung.
Und da liegt der Hund begraben!
Nachdem ich auf eigene Faust die VLANs angelegt hab, die PPPoE Einwahl auf dem VLAN 7 und auch das Assignment des VLAN 7 inkl. Einwahl auf das WAN Interface gelegt hab funktioniert der normale Internetraffic super. Ich konnte auch schon diverse NATings zu meinem Webserver oder auch OpenVPN anlegen und alles funktionert.
Bis auf das VoIP.
Dafür würde ich gerne meine Fritzbox als reine Telefonanlage verwenden. Sie ist bereits im IP-Client Mode und einer statischen IP im LAN und ich kann sie erreichen.
Das VLAN 2222 konnte ich auch schon wie das VLAN 7 dem WAN interface zuweisen und ein Interface (OPT1 umbenannt zu "VOIP") erstellen. Stelle ich dort auf DHCP bekommt das Interface auch eine IP zugewiesen.
Soweit so gut.
Wie kann ich nun den SIP Traffic auf die Fritzbox "umbiegen"?
Ich habe hier bereits ein Paar Threads studiert: hier und hier
Aber so richtig bin ich damit nicht zum Erfolg gekommen, besonders weil es dort am Ende immer um ein einzelnes Telefon geht und eben nicht eine Fritzbox als Telefonanlage.
Am liebsten wäre mir wenn ich das VLAN 2222 einfach direkt an die Fritzbox weitergeben würde. Mit einem Managebaren Switch VOR der OPNSense Lösung um die VLANs auf einzelne Ports aufzutrennen wäre sicherlich eine einfache Lösung, aber es muss doch auch mit der OPNSense selber gehen.
Im zweifel kann ich auch noch weitere NICs an das Zimaboard über PCIe anschließen wenn es das einfacher macht. Aber im Moment bin ich ein bisschen planlos.

[Hightower]

vielleicht hilft das hier weiter: https://www.mg-sky.de/2018/05/11/voip-mit-einer-firtzbox-7490-hinter-opnsense/

super Anleitung

[screwbox]

Wow, ja das ist echt super. Sieht so aus als müsste ich nur noch die anderen Ports (RTP) neben 5060 (SIP) bei BiTel erfragen da ich die nirgends in der Anleitung finde und auch irgendwie nicht aus den Logs "herauslesen" kann.

[screwbox]

Ich bin's nochmal. Die Anleitung konnte ich soweit verstehen und auch nachbauen. Da sich mein Setup wegen dem VLAN ein wenig von der Antleitung unterscheidet musste ich an den Stellen wo WAN verwendet wurde mein Interface nutzen auf dem ich per DHCP die VoIP Adresse von meinem Provider bekommen habe. Ab hier sollte dann ja alles über die Forwardings bzw. Outbound NAT in meinem LAN ohne VLAN weitergehen.
Mein einziges Problem ist das der Provider auf der VoIP Leitung auch einen anderen internen DNS nutzt. Deshalb bekomme ich in der Fritzbox bei den Anmeldeversuchen der Box immer die Meldung: "DNS-Fehler".
Versuche den DNS einfach in der Fritzbox als primären DNS einzutragen haben natürlich nicht gefruchtet, es handelt sich ja nicht um einen öffentlichen DNS.
Ich müsste also einen Weg finden die DNS anfragen die von der Fritzbox kommen auf einen anderen (den internen VoIP DNS von BiTel) umzuleiten.
Anfrage der Fritzbox an den dort eingetragenen DNS 192.168.1.1 (die Opnsense) sollten also an BiTels 10.0.44.141 gehen inkl. dem Rückweg.

P.S.: Habe nicht so oft mit Fritzboxen zu tun, aber ich konnte dir RTP Ports in der Fritzbox in den Diagnosedaten finden.

[screwbox]

Ich bin ja eigentlich kein Freund von doppel oder triple Posts. Aber es geht mir dann schon drum Leuten die ähnliche Probleme haben meine Lösung bzw. das vorankommen zu dokumentieren.

Es ist wirklich ein DNS Problem seitens der Fritzbox. Ich konnte den SIP Registrar DNS Namen mit einem DNS Lookup auf der OPNSense auflösen und dazu wurden mir dann 2 IP Adressen ausgegeben. Denke es geht dabei dann um ausfallsicherheit. Ich habe eine der beiden IP Adressen mal anstelle des DNS Namens in der Fritzbox unter Registrar eingetragen und die Fritzbox meldet das Telefon sofort an. Ich kann auch raustelefonieren und bei einem Anruf klingelt das Telefon.

Um nun die Lösung wirklich sauber zu haben muss ich nur noch einen Weg finden der Fritzbox den richtigen DNS Server beizubringen. Mit den normalen outbound NAT Rules scheint das nicht zu gehen. Oder ich habe da noch einen Denkfehler.

[micneu]

trage es doch statisch in die fritzbox ein oder über statische ip zuweisen kannst du dem gerät auch eigene dns server zuweisen, ist doch ganz simple


Gesendet von iPad mit Tapatalk Pro

[screwbox]

War natürlich das erste was ich gemacht habe. Aber ich bekomme trotzdem noch den DNS Fehler im Fritzbox Log. Ich glaube das hängt damit zusammen das die Fritzbox ja in meinem privaten 192.168.x.x/24 Netz steht der DNS der zu verwenden ist jedoch im ziel VLAN die Adresse 10.0.x.x/21 also in einem ganz anderen Subnetz steht. Ich hatte gehofft das wenn ich den DNS einfach in der Fritze eintrage OPNSense das routing übernimmt. Funktioniert aber scheinbar nicht. Auch nicht wenn ich extra eine Rule für DNS der Fritzbox anlege und dort explizit den Gateway des Ziel VLAN angebe.
Sonst wäre das ja scheinbar zu einfach. 
Kurz: Der SIP DNS ist nur im VLAN zu erreichen deswegen musste ich auch nslookup der opnsense auf dem VLAN Interface nutzen um den Namen aufzulösen.

[micneu]

Das hört sich für mich ganz komisch an, mach doch mal einen Screenshot von dem Eintrag wo du die DNS Server pusht


Gesendet von iPhone mit Tapatalk Pro