[Siproxd & VOIP Support] Problem- und Lösungsthread

[iam]

Hi,

über Wiregard als inbound kann den den Siproxd anscheinend nicht nutzen?

Viele Grüße,
iam

[mimugmail]

Wenn du das interface assignest und dann als outgoing if definierst könnte es klappen

[iam]

In dem Fall wenn ingoing.

Ich muß das Interface nur "assignen", aber nicht aktivieren (also kein Haken bei Enable "Interface")?

[mimugmail]

Assign, Enable, Interface Lock, keine IP, dann Apply und WireGuard neu starten

[Schubbie]

Moin,
ich habe mich hier mal angemeldet, da ich die OPNsense glaube ich ganz gut finden würde, wenn diese funktioniert. Temporär habe ich auch alles wie gewünscht zum Laufen bekommen, verbringe aber schon etliche Stunden/Tage damit rauszufinden, warum meine Telefonanlage nicht die SIP-Leitungen am Provider registrieren kann. Stecke ich meine Ubiquiti Gateway ein, dann verbindet sich diese sofort.

ich habe die Version OPNsense 20.1.8_1-amd64

Aufbau:
1&1 -> Draytek Vigor 130 als Modem -> OPNsense per PPPoE -> Starface PBX im VLAN 3

Fehlermeldung in der Starface ist z.B.:
[Jul  9 02:53:59] WARNING[5709] chan_sip.c: Forbidden - wrong password on authentication for REGISTER for 'Benutzer' to 'sip.1und1.de'

oder auch, dass der Provider nicht erreichbar ist.

Sipgate registriert sich sofort und funktioniert auch.

Ich habe die Portweiterleitungen eingerichtet, mich mit Siproxd probiert, abner ich bekomme es noch nicht einmal hin, dass sich die Leitungen beim Provider registrieren.
Meine Vermutung ist, dass die OPNsense irgendetwas an dem Header ändert, so dass die Logindaten nicht korrekt bei 1&1 ankommen. Versuche ich es per Zoiper im WLAN mit bei 1&1 zu registrieren, dann kommt häufig die Meldung, dass die IP-Adresse nicht zugelassen ist, obwohl ich mich versuche per WLAN über meinen 1&1 Anschluss anzumelden.

Hat hierzu vielleicht jemand eine Idee?
Schnittstellen Scrub habe ich auch schon deaktiviert. Ich habe das Gefühl, dass Zoiper sich häufiger registrieren kann, wenn ich IP-Nicht-Fragmentieren anwähle. Allerdings kann ich das nicht reproduzieren, da es auch damit mal nicht geht und ohne die Option auch und ich mich seltsamerweise auch an einer Leitung meines Accounts anmelden kann, aber an dem anderen nicht, dann geht mal der eine, aber der andere nicht, oder es gehen beide oder beide nicht. Aber das wie gesagt mit Zoiper zu 1&1, meine Starface habe ich noch nie bei 1&1 über die OPNsense registriert bekommen und die läuft schon Jahre am Ubiquiti Gateway stabil.

Hat jemand die zündende Idee? Ich weiß nicht, wie viele Stunden ich bereits mit der Suche verbracht habe :-(

Mit freundlichem Gruß
Andreas

[mimugmail]

Screenshot von outbound nat und port forward bitte.
Du brauchst bei sip trunk keinen siproxd, nur wenn du mehrere Tel zu einem Provider hast

[robgnu]

Hallo Schubbie,

bei 1&1 und Sipgate sind die SIP-Server auch IPv6 fähig. Wenn du dir also die Ports in der TK-Anlagen-Doku raussuchst, die benötigt werden, kannst du auch auf Port-Forwarding und Outbound-NAT verzichten. Du benötigst dann nur entsprechende Firewall-Regeln (WAN) zur TK-Anlage.

Ich habe das mit der ein oder anderen FRITZ!Box hinter OPN/pfSense so konfiguriert und es läuft prima. Die Frage ist nur, ob deine TK-Anlage IPv6 fähig ist?

Gruß
Robert.

[Schubbie]

Hallo Robert,

vielen Dank für die Antwort.
In der Anlage habe ich meiner Erinnerung noch nie etwas mit IPv6 konfiguriert und auch noch keine Adresse in einem Log gesehen.
Im Ubiquiti Gateway brauche ich zur Anlage lediglich Port 5060 zur Anlage freigeben und begrenze diese eingehend auf die beiden IPv4 IPs von 1&1 SIP und bekomme damit auch keine Einbruchversuche auf der Telefonanlage gemeldet.
Leider funktioniert es mit OPNsense nicht so leicht. Ich komme nicht dahinter, warum sich die Leitungen nicht registrieren können. Daher wäre meine Vermutung, dass die OPNsense den Header ändert, aber wie dieses verhindern?

Mit freundlichem Gruß
Andreas

[robgnu]

Hallo Andreas,

kurz zur Erklärung, vielleicht hilft es dir weiter: VoIP funktioniert mit zwei Protokollen. Die "Steuerung" der Session erfolgt mit dem SIP-Protokoll, meistens Port 5060/udp. Damit werden Anrufe signalisiert, beendet usw. Die Sprachdaten gehen dann über RTP. Welche Ports für die RTP-Verbindung genutzt werden hängt von der TK-Anlage ab. Auch diese Ports werden über SIP ausgehandelt.

Bei dir scheint das Problem ja schon bei der Registrierung zu liegen. Ich vermute, dass bei deine SIP-Anfrage der Absender-Port 5060 durch das NAT umgeschrieben wird. D.h. es wird nicht nur die private IP-Adresse durch die öffentliche IP-Adresse ausgetauscht, es wird auch der Absender-Port geändert. Dadurch schlägt die Registrierung vmtl. fehl. Ich denke du müsstest die Outbound-NAT Konfiguration anpassen, damit der Absender-Port nicht umgeschrieben wird. Das Stichwort lautet "STATIC PORT".

Kurzfassung:
- Zuerst muss der Mode auf Hybrid outbound NAT rule generation gestellt werden.
- Unter Firewall → NAT → Outbound legt man eine neue Regel an:
Interface: WAN
Protocol: UDP
Source address: <IP-Adresse der TK-Anlage>
Source port: *
Static-port: aktiviert (WICHTIG)
Description: VoIP

Die Ausführliche Anleitung findest du hier: https://forum.opnsense.org/index.php?topic=4712.0

Ich hoffe, du kommst damit weiter.

Gruß
Robert.

ps. Es lohnt sich IPv6 zu aktivieren und sich damit zu beschäftigen. Das Leben wird damit leichter! (Kein NAT, kein Port-Forwarding - keine "dreckigen" Lösungen mehr...)

[Schubbie]

Hallo Robert,

ich habe kurz geguckt, die Starface PBX wird voraussichtlich erst im Laufe diesen Jahres IPv6 unterstützen, eine Umstellung ist derzeit also nicht möglich.

Den Static-Port habe ich aktiviert, leider kommt immer noch zurück, dass die Login-Daten verkehrt sind. Per Zoiper (ich melde mich mit Zoiper in diesem Falle direkt bei 1&1 an) kommt wieder wie Meldung, dass die IP nicht authorisiert ist. Die Starface muss doch bei 1&1 ankommen, ansonsten würde nicht zurückkommen, dass der Login falsch ist. Ansonsten habe ich ein Timeout als Fehlermeldung bekommen.
Ist nun die Frage, ob Zoiper oder Starface die korrekte Fehlermeldung bringen, also ob irgendetwas bei der Übertragung der Login-Daten oder der IP schief geht. Zoiper geht ja gelegentlich.

SipGate geht weiterhin ohne zusätzliche Einstellungen.

Was mich weiterhin irritiert ist, dass wenn sich die Starface versucht bei 1&1 zu melden, müsste ich da nicht etwas in der Firewall Protokoll Liveansicht sehen? Gelegentlich meldet sich eine Windows-VM an der Starface, obwohl die VM damit gar nichts zu tun hat.

Ich hänge mal Screenshots des momentanen Standes an, vielleicht habe ich ja nur irgendwo einen Haken falsch gesetzt...



















Ich bin gleich erstmal auf Arbeit, eine Antwort kann also dauern.

Vielen Dank bis hierher.

Mit freundlichem Gruß
Andreas

[Schubbie]

Ich wollte gerade mal per Smartphone gucken, ob es bereits etwas Neues gibt und habe bemerkt, dass ich die hochgeladenen Fotos (ging leider auf die Schnelle nicht im Forum) nicht sehen kann. Könnt ihr die sehen?

[mimugmail]

Ne sieht man nix

[Schubbie]

Ist es ok, wenn ich die Links so hier einstelle? Ich hatte Thumbnails eingestellt und mir wurden diese angezeigt. Keine Ahnung, warum die nun weg sind... Oder habe ich gegen irgendwelche Regeln verstoßen?

https://www.bilder-upload.eu/bild-b78263-1594279321.jpg.html

https://www.bilder-upload.eu/bild-c9314e-1594279359.jpg.html

https://www.bilder-upload.eu/bild-f34f4d-1594279403.jpg.html

https://www.bilder-upload.eu/bild-ab4807-1594279423.jpg.html

https://www.bilder-upload.eu/bild-60de0e-1594279443.jpg.html

https://www.bilder-upload.eu/bild-d7b604-1594279464.jpg.html

https://www.bilder-upload.eu/bild-1ad5a0-1594279505.jpg.html

[mimugmail]

Screenshot 2, Ziel muss WAN address sein

[mimugmail]

Outbound Nat fehlt