Quantcast
Aktuelles
Von:
Digital Eliteboard - Das Digitale Technik Forum

Registriere dich noch heute kostenlos, um Mitglied zu werden! Sobald du angemeldet bist, kannst du auf unserer Seite aktiv teilnehmen, indem du deine eigenen Themen und Beiträge erstellst und dich über deinen eigenen Posteingang mit anderen Mitgliedern unterhalten kannst! Zudem bekommst du Zutritt zu Bereichen, welche für Gäste verwehrt bleiben

Registriere dich noch heute kostenlos, um Mitglied zu werden! Sobald du angemeldet bist, kannst du auf unserer Seite aktiv teilnehmen, indem du deine eigenen Themen und Beiträge erstellst und dich über deinen eigenen Posteingang mit anderen Mitgliedern unterhalten kannst! Zudem bekommst du Zutritt zu Bereichen, welche für Gäste verwehrt bleiben

Support OpenScape Telefonanlage / IPtables

G

GTD Bastion

VIP
Registriert
11. Juni 2010
Beiträge
4.080
Reaktionspunkte
2.847
Punkte
373
Hallo Zusammen,

ich habe folgendes Szenario...
Site A: 192.168.10.0/24
Gateway: 192.168.10.253 ist ein Pi der eine Wireguard Verbindung zu Site B aufbaut, in welcher auch die TK Anlage OpenScape Business S bereit steht.
Site B: 192.168.88.0/24
TK Anlage: 192.168.88.120
VPN Server: 192.168.88.250

Ich kann alle Server und Clients von Site A aus in Site B anpingen. Das gleiche Szenario nur umgekehrt von B nach A funktioniert auch Problemlos.
Daher können wir das Thema Route und Wireguard Konfiguration direkt abhaken.
In Site A habe ich ein Unify Telefon welches auch eine Verbindung zur OpenScape Anlage aufbauen kann, allerdings diese wieder nach ca. 60 Sekunden verliert.
Hinzu kommt das auch kein Audio übertragen wird.

Das Masquerading ist deaktiviert

Hier die IPTABLES vom Wireguard Gateway Site A:
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

# Accept incoming traffic for the VPN and other necessary services
-I INPUT 1 -j LOG
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp --dport 51820 -j ACCEPT
-A INPUT -p tcp --dport 4060 -j ACCEPT
-A INPUT -p udp --dport 4060 -j ACCEPT
-A INPUT -p tcp --dport 18443 -j ACCEPT
-A INPUT -p tcp --dport 5060 -j ACCEPT
-A INPUT -p udp --dport 5060 -j ACCEPT

# Forwarding rules
-I FORWARD 1 -j LOG
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.10.0/24 -d 192.168.88.0/24 -i eth0 -o wg0 -j ACCEPT
-A FORWARD -s 192.168.88.0/24 -d 192.168.10.0/24 -i wg0 -o eth0 -j ACCEPT

# Allow all TCP and UDP traffic between the networks
-A FORWARD -s 192.168.88.0/24 -d 192.168.10.0/24 -i wg0 -o eth0 -j ACCEPT
-A FORWARD -s 192.168.10.0/24 -d 192.168.88.0/24 -i eth0 -o wg0 -j ACCEPT

# SIP and RTP traffic
-A FORWARD -p udp --sport 5060 -j ACCEPT
-A FORWARD -p udp --dport 5060 -j ACCEPT
-A FORWARD -p udp --sport 4060 -j ACCEPT
-A FORWARD -p udp --dport 4060 -j ACCEPT
-A FORWARD -p udp --sport 10000:20000 -j ACCEPT
-A FORWARD -p udp --dport 10000:20000 -j ACCEPT
-A FORWARD -p tcp --sport 18443 -j ACCEPT
-A FORWARD -p tcp --dport 18443 -j ACCEPT
COMMIT
*nat
:PREROUTING ACCEPT [420:44317]
:INPUT ACCEPT [330:38441]
:OUTPUT ACCEPT [35:2608]
:POSTROUTING ACCEPT [112:7307]
# Enable NAT
-A POSTROUTING -o eth0 -j MASQUERADE
#-A POSTROUTING -o wg0 -j MASQUERADE
COMMIT

*mangle
:PREROUTING ACCEPT [49710:12065823]
:INPUT ACCEPT [29040:7796189]
:FORWARD ACCEPT [16241:3667545]
:OUTPUT ACCEPT [24678:4486616]
:POSTROUTING ACCEPT [40901:8152122]
COMMIT

*raw
:PREROUTING ACCEPT [49710:12065823]
:OUTPUT ACCEPT [24678:4486616]
COMMIT

*filter
:INPUT ACCEPT [16686:4237352]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [24660:4484577]
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m udp --dport 53760 -j ACCEPT
-A INPUT -p udp -m udp --dport 51820 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8888 -j ACCEPT
-A INPUT -p udp -m udp --dport 8888 -j ACCEPT
-A INPUT -p tcp --dport 4060 -j ACCEPT
-A INPUT -p udp --dport 4060 -j ACCEPT
-A INPUT -p tcp --dport 18443 -j ACCEPT
-A INPUT -p tcp --dport 5060 -j ACCEPT
-A INPUT -p udp --dport 5060 -j ACCEPT
# Forwarding rules
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# Allow all TCP and UDP traffic between the networks
-A FORWARD -s 192.168.88.0/24 -d 192.168.10.0/24 -i wgsitea -o eth0 -j ACCEPT
-A FORWARD -s 192.168.10.0/24 -d 192.168.88.0/24 -i eth0 -o wgsitea -j ACCEPT

# SIP and RTP traffic
-A FORWARD -p udp --sport 5060 -j ACCEPT
-A FORWARD -p udp --dport 5060 -j ACCEPT
-A FORWARD -p udp --sport 4060 -j ACCEPT
-A FORWARD -p udp --dport 4060 -j ACCEPT
-A FORWARD -p udp --sport 10000:20000 -j ACCEPT
-A FORWARD -p udp --dport 10000:20000 -j ACCEPT

-A FORWARD -i eth0 -o wgsitea -j ACCEPT
-A FORWARD -i wgsitea -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o wg0 -j ACCEPT
-A FORWARD -i wg0 -o eth0 -j ACCEPT
COMMIT
# Completed on Sun Jul 7 08:50:54 2024
# Generated by iptables-save v1.8.7 on Sun Jul 7 08:50:54 2024
*nat
:PREROUTING ACCEPT [5721:729756]
:INPUT ACCEPT [1166:120446]
:OUTPUT ACCEPT [33:2553]
:POSTROUTING ACCEPT [18:1805]
#-A POSTROUTING -o wgsitea -j MASQUERADE
-A POSTROUTING -o wg0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Sun Jul 7 08:50:54 2024

Die Conntrack Module nf_conntrack, nf_conntrack_sipsudo, nf_conntrack_h323 sind auf beiden Seiten geladen.
Der Fehlercode auf dem Telefon ist HS2.

Ich bedanke mich schon im Vorraus für Ideen....
 
Hallo,

Interessantes Szenario. Es sieht so aus, als ob es ein Problem mit dem Halten der SIP-Verbindung durch NAT oder Firewall-Regeln gibt. Hier sind einige Punkte, die Sie überprüfen können:

1. SIP-ALG: Überprüfen Sie, ob SIP-ALG auf Ihrem Router aktiviert ist. SIP-ALG kann manchmal Probleme mit der Verarbeitung von SIP-Verkehr verursachen. Versuchen Sie, es zu deaktivieren, um zu sehen, ob das Ihr Problem löst.

2. SIP und RTP Verkehr: Stellen Sie sicher, dass die Firewall-Regeln auf beiden Seiten den SIP- und RTP-Verkehr korrekt verwalten. Aufgrund der Tatsache, dass die Verbindung nach etwa 60 Sekunden getrennt wird, könnte es sein, dass ein Keep-Alive-Mechanismus (wie z.B. SIP OPTIONS oder eine RTP-Stille) nicht korrekt funktioniert.

3. NAT-Typ: Wenn Sie sich hinter einer symmetrischen NAT befinden, könnte dies auch das Problem sein, da symmetrische NATs jedes Mal, wenn Sie eine Verbindung herstellen, einen neuen Port verwenden. Dies könnte erklären, warum die Verbindung nach einer Minute abbricht, da das NAT jedes Mal, wenn die Verbindung wieder aufgebaut wird, einen neuen Port verwendet.

4. Masquerading: Sie haben erwähnt, dass Masquerading deaktiviert ist. Obwohl dies in vielen Fällen korrekt ist, könnte es in Ihrem speziellen Fall hilfreich sein, Masquerading für den SIP- und RTP-Verkehr zu aktivieren.

5. Timeout-Werte: Es könnte auch mit den Timeout-Werten zu tun haben. Sie könnten versuchen, die SIP-Timeout-Werte in der Firewall zu erhöhen.

6. QoS-Einstellungen: Überprüfen Sie Ihre QoS-Einstellungen. Es könnte sein, dass Ihre VoIP-Verkehrspakete aufgrund von Netzwerkstau nicht priorisiert werden.

Hoffe, das hilft! Es wäre großartig, wenn Sie uns weitere Informationen zu den Ergebnissen der obigen Punkte geben könnten. Es wäre auch hilfreich, wenn Sie uns mitteilen könnten, welche Art von Telefon Sie verwenden, da verschiedene Telefone unterschiedliche Methoden zur Handhabung von SIP-Verbindungen verwenden können.
 
Hi @GTD Bastion,
Das Masquerading ist deaktiviert
Zum Vergrößern anklicken....
diese Einträge sagen aber etwas anderes
-A POSTROUTING -o wg0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
Zum Vergrößern anklicken....

SIP hinter NAT ist in der Regel immer eine sehr fummelige Angelegenheit, weil die IPs der Gesprächspartner im SIP-Paket selber verpackt sind.
An deiner Stelle würde ich mir als erstes die SIP-Pakete auf beiden Seite mit wireshark genau beäugen.
 
Die beiden Einträge auf dem VPN Server sind da ja.
WG0 ist für einen anderen Wireguard und eth0 sollte klar sein.

Hatte auch schon zeitweise eth0 aus dem Masquerading heraus genommen...hat auch nicht den Erfolg gebracht.
Das erste Hauptproblem ist, das dass Telefon ständig die Verbindung verliert...und zwar genau nach dieser Sequenz...

14:05:34.827473 IP 192.168.10.93.32301 > 192.168.88.120.29254: UDP, length 172
14:05:34.836129 IP 192.168.88.120.29254 > 192.168.10.93.29100: UDP, length 172
14:05:34.847479 IP 192.168.10.93.32301 > 192.168.88.120.29254: UDP, length 172
14:05:34.856130 IP 192.168.88.120.29254 > 192.168.10.93.29100: UDP, length 172
14:05:34.863614 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 2717:3905, ack 2014, win 2781, options [nop,nop,TS val 5132587 ecr 616914319], length 1188
14:05:34.863753 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 3905:5093, ack 2014, win 2781, options [nop,nop,TS val 5132587 ecr 616914319], length 1188
14:05:34.863949 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 5093:6281, ack 2014, win 2781, options [nop,nop,TS val 5132587 ecr 616914319], length 1188
14:05:34.864103 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 6281:7469, ack 2014, win 2781, options [nop,nop,TS val 5132587 ecr 616914319], length 1188
14:05:34.864305 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 7469:8657, ack 2014, win 2781, options [nop,nop,TS val 5132587 ecr 616914319], length 1188
14:05:34.864455 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 8657:9845, ack 2014, win 2781, options [nop,nop,TS val 5132587 ecr 616914319], length 1188
14:05:34.864675 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 9845:11033, ack 2014, win 2781, options [nop,nop,TS val 5132587 ecr 616914319], length 1188
14:05:34.864817 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 11033:12221, ack 2014, win 2781, options [nop,nop,TS val 5132587 ecr 616914319], length 1188
14:05:34.867442 IP 192.168.10.93.32301 > 192.168.88.120.29254: UDP, length 172
14:05:34.876139 IP 192.168.88.120.29254 > 192.168.10.93.29100: UDP, length 172
14:05:34.878090 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], ack 6281, win 288, options [nop,nop,TS val 616916626 ecr 5132587], length 0
14:05:34.878908 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 12221:13409, ack 2014, win 2781, options [nop,nop,TS val 5132588 ecr 616916626], length 1188
14:05:34.878988 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], ack 8657, win 326, options [nop,nop,TS val 616916626 ecr 5132587], length 0
14:05:34.879026 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 13409:14597, ack 2014, win 2781, options [nop,nop,TS val 5132588 ecr 616916626], length 1188
14:05:34.879110 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], ack 11033, win 363, options [nop,nop,TS val 616916627 ecr 5132587], length 0
14:05:34.879232 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 14597:15785, ack 2014, win 2781, options [nop,nop,TS val 5132588 ecr 616916626], length 1188
14:05:34.879334 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 15785:16973, ack 2014, win 2781, options [nop,nop,TS val 5132588 ecr 616916626], length 1188
14:05:34.879719 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 16973:18161, ack 2014, win 2781, options [nop,nop,TS val 5132588 ecr 616916626], length 1188
14:05:34.879807 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [P.], seq 18161:19130, ack 2014, win 2781, options [nop,nop,TS val 5132588 ecr 616916626], length 969
14:05:34.884481 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 19130:20318, ack 2014, win 2781, options [nop,nop,TS val 5132589 ecr 616916627], length 1188
14:05:34.884586 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 20318:21506, ack 2014, win 2781, options [nop,nop,TS val 5132589 ecr 616916627], length 1188
14:05:34.884776 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 21506:22694, ack 2014, win 2781, options [nop,nop,TS val 5132589 ecr 616916627], length 1188
14:05:34.884882 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], seq 22694:23882, ack 2014, win 2781, options [nop,nop,TS val 5132589 ecr 616916627], length 1188
14:05:34.887473 IP 192.168.10.93.32301 > 192.168.88.120.29254: UDP, length 172
14:05:34.893343 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], ack 13409, win 400, options [nop,nop,TS val 616916641 ecr 5132587], length 0
14:05:34.893851 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], ack 16973, win 456, options [nop,nop,TS val 616916641 ecr 5132588], length 0
14:05:34.894090 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], ack 19130, win 493, options [nop,nop,TS val 616916642 ecr 5132588], length 0
14:05:34.894807 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [P.], seq 23882:24983, ack 2014, win 2781, options [nop,nop,TS val 5132590 ecr 616916642], length 1101
14:05:34.895884 IP 192.168.88.120.29254 > 192.168.10.93.29100: UDP, length 172
14:05:34.899122 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], ack 21506, win 530, options [nop,nop,TS val 616916647 ecr 5132589], length 0
14:05:34.899122 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], ack 23882, win 567, options [nop,nop,TS val 616916647 ecr 5132589], length 0
14:05:34.907459 IP 192.168.10.93.32301 > 192.168.88.120.29254: UDP, length 172
14:05:34.915900 IP 192.168.88.120.29254 > 192.168.10.93.29100: UDP, length 172
14:05:34.927424 IP 192.168.10.93.32301 > 192.168.88.120.29254: UDP, length 172
14:05:34.935881 IP 192.168.88.120.29254 > 192.168.10.93.29100: UDP, length 172
14:05:34.947425 IP 192.168.10.93.32301 > 192.168.88.120.29254: UDP, length 172
14:05:34.950115 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], ack 24983, win 585, options [nop,nop,TS val 616916698 ecr 5132590], length 0
14:05:34.955876 IP 192.168.88.120.29254 > 192.168.10.93.29100: UDP, length 172
14:05:34.967443 IP 192.168.10.93.32301 > 192.168.88.120.29254: UDP, length 172
14:05:34.970850 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [.], seq 2014:3202, ack 24983, win 585, options [nop,nop,TS val 616916718 ecr 5132590], length 1188
14:05:34.970904 IP 192.168.88.120.18443 > 192.168.10.93.40351: Flags [P.], seq 3202:3905, ack 24983, win 585, options [nop,nop,TS val 616916718 ecr 5132590], length 703
14:05:34.971612 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], ack 3202, win 3143, options [nop,nop,TS val 5132598 ecr 616916718], length 0
14:05:34.971827 IP 192.168.10.93.40351 > 192.168.88.120.18443: Flags [.], ack 3905, win 3440, options [nop,nop,TS val 5132598 ecr 616916718], length 0
 
Hi,
ist das ein tcpdump Ausschnitt? Brauchbare Infos findet man im SIP Paket => Wireshark.

Du kannst auch einen Software SIP-Client wie
Sie müssen registriert sein, um Links zu sehen.
testen .. dort bekommt man evtl. auch mehr Infos zum Verbindungsaufbau angezeigt.
 
Zuletzt bearbeitet:
Kleines Update....ich habe jetzt mal von Wireguard auf OpenVPN mit TAP Device gewechselt.
Damit bleibt die Verbindung des Telefon bestehen, und auch One-Way Audio von der TK zum Handy ist da.
*mangle
:pREROUTING ACCEPT [13:932]
:INPUT ACCEPT [13:932]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [7:952]
:pOSTROUTING ACCEPT [7:952]
COMMIT
# Completed on Sat Jul 6 23:23:42 2024
# Generated by iptables-save v1.8.9 (nf_tables) on Sat Jul 6 23:23:42 2024
*raw
:pREROUTING ACCEPT [13:932]
:OUTPUT ACCEPT [7:952]
COMMIT
# Completed on Sat Jul 6 23:23:42 2024
# Generated by iptables-save v1.8.9 (nf_tables) on Sat Jul 6 23:23:42 2024
*filter
:INPUT ACCEPT [13:932]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [7:952]
-A INPUT -p udp -m udp --dport 51820 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 4060 -j ACCEPT
-A INPUT -p udp -m udp --dport 4060 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 18443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5060 -j ACCEPT
-A INPUT -p udp -m udp --dport 5060 -j ACCEPT
-A INPUT -p udp -m multiport --dports 30247:30529 -j ACCEPT
-A INPUT -p udp -m multiport --dports 49152:65535 -j ACCEPT
-A INPUT -p udp -m multiport --dports 29000:30530 -j LOG --log-prefix "RTP INPUT: "
-A FORWARD -s 192.168.10.0/24 -d 192.168.88.0/24 -i tap0 -o eth0 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p udp -m multiport --dports 30247:30529 -j ACCEPT
-A FORWARD -p udp -m multiport --dports 49152:65535 -j ACCEPT
-A FORWARD -i wgwerk -j ACCEPT
-A FORWARD -i eth0 -o wgwerk -j ACCEPT
-A FORWARD -i wgwerk -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o wg0 -j ACCEPT
-A FORWARD -i wg0 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tap0 -j ACCEPT
-A FORWARD -i tap0 -o eth0 -j ACCEPT
-A FORWARD -p udp -m multiport --dports 29000:30530 -j LOG --log-prefix "RTP FORWARD: "
COMMIT
*nat
:pREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:pOSTROUTING ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o wgwerk -j MASQUERADE
-A POSTROUTING -o wg0 -j MASQUERADE
COMMIT
 
Hi,
ich würde versuchen einen SIP proxy einzubauen.
Es gibt verschiedene implemetionen (
Sie müssen registriert sein, um Links zu sehen.
) in der sophos utm Firewall ist so etwas integriert.
Auch mit opnsense sollte es funktionieren. (
Sie müssen registriert sein, um Links zu sehen.
)
Ich denke ohne etwas zusätzliches was sich um die voip Verbindung kümmert wird es schwierig etwas stabiles zu bekommen.
VG
 
Zurück
Oben