Firewall - Check
Hallo Leute,
könnt ihr mal meine Firewall Checken? Oder was könnte man optimieren und verbessern?
Mein größtes Problem ist aktuell das ich keinen Ton bekomme beim Telefonieren. Warum?
könnt ihr mal meine Firewall Checken? Oder was könnte man optimieren und verbessern?
Mein größtes Problem ist aktuell das ich keinen Ton bekomme beim Telefonieren. Warum?
/ip firewall connection tracking
set enabled=yes udp-timeout=10s
/ip firewall filter
add action=accept chain=input comment="Allow established and related connections" connection-state=established,related
add action=accept chain=forward comment="Allow established and related connections" connection-state=established,related
add action=accept chain=input comment="Allow Ping from local networks" protocol=icmp src-address-list=local
add action=accept chain=input comment="Allow DNS only from local networks" dst-port=53 protocol=udp src-address-list=local
add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=5m chain=input comment="SSH First attempt" connection-state=new dst-port=43131 protocol=tcp
add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=15m chain=input comment="SSH Second attempt" connection-state=new dst-port=43131 protocol=tcp
add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1h chain=input comment="SSH Third attempt" connection-state=new dst-port=43131 protocol=tcp
add action=accept chain=input comment="Allow SSH from non-blacklisted sources and only from local networks" dst-port=43131 protocol=tcp src-address-list=local
add action=add-src-to-address-list address-list=winbox_stage1 address-list-timeout=5m chain=input comment="Winbox First attempt" connection-state=new dst-port=8291 protocol=tcp
add action=add-src-to-address-list address-list=winbox_stage2 address-list-timeout=15m chain=input comment="Winbox Second attempt" connection-state=new dst-port=8291 protocol=tcp
add action=add-src-to-address-list address-list=winbox_stage3 address-list-timeout=1h chain=input comment="Winbox Third attempt" connection-state=new dst-port=8291 protocol=tcp
add action=accept chain=input comment="Allow Winbox from non-blacklisted sources and only from local networks" dst-port=8291 protocol=tcp src-address-list=local
add action=accept chain=input comment="Allow HTTPS_ROUTER_Intern" dst-port=444 protocol=tcp src-address-list=local
add action=accept chain=input comment="Allow SNMP" dst-port=161 protocol=udp src-address-list=local
add action=accept chain=input comment="Allow Wireguard" dst-port=55003 in-interface-list=WAN protocol=udp
add action=accept chain=forward comment="Allow Wireguard to VLAN100" dst-address=!10.10.150.0/24 in-interface=wg0 out-interface=VLAN100
add action=accept chain=forward comment="Allow VLAN100 to Wireguard" dst-address=!10.10.150.0/24 in-interface=VLAN100 out-interface=wg0
add action=drop chain=input comment="Drop invalid packets" connection-state=invalid
add action=drop chain=input comment="Drop all other input traffic"
add action=accept chain=forward comment="Allow RTP (VoIP) traffic" connection-nat-state="" dst-address=192.168.100.200 dst-port=10000-20000 protocol=udp
add action=accept chain=forward comment=Phone connection-nat-state="" dst-address=192.168.100.200 dst-port=5060 log=yes log-prefix=5060 protocol=tcp
add action=accept chain=forward comment=Phone connection-nat-state="" dst-address=192.168.100.200 dst-port=5060 log=yes log-prefix=5060 protocol=udp
add action=accept chain=forward comment=Phone connection-nat-state="" dst-address=192.168.100.200 dst-port=5061 log=yes log-prefix=5061 protocol=tcp
add action=accept chain=forward comment=Phone connection-nat-state="" dst-address=192.168.100.200 dst-port=5222 log=yes log-prefix=5061 protocol=tcp
add action=accept chain=forward comment="Accept other dst-nat connections" connection-nat-state=dstnat
add action=drop chain=forward comment="Drop invalid packets" connection-state=invalid disabled=yes
add action=drop chain=forward comment="Drop all other forward traffic" disabled=yes
/ip firewall nat
add action=dst-nat chain=dstnat comment=Opensense dst-port=443 in-interface=WAN1 protocol=tcp to-addresses=192.168.200.250 to-ports=443
add action=dst-nat chain=dstnat comment=Telefon dst-port=5222 in-interface=WAN1 protocol=tcp to-addresses=192.168.100.200 to-ports=5222
add action=dst-nat chain=dstnat comment=Telefon dst-port=5061 in-interface=WAN1 protocol=tcp to-addresses=192.168.100.200 to-ports=5061
add action=dst-nat chain=dstnat comment=Telefon dst-port=5060 in-interface=WAN1 protocol=udp to-addresses=192.168.100.200 to-ports=5060
add action=dst-nat chain=dstnat comment="RTP" dst-port=10000-20000 in-interface=WAN1 log=yes log-prefix=RTPNAT protocol=udp to-addresses=192.168.100.200
add action=masquerade chain=srcnat comment="Masquerade Outgoing Traffic on WAN1" out-interface=WAN1
/ip firewall service-port
set sip disabled=yes
Please also mark the comments that contributed to the solution of the article
Content-ID: 63283366014
Url: https://administrator.de/contentid/63283366014
Printed on: September 1, 2024 at 00:09 o'clock
14 Comments
Latest comment
aber nur als DSL Modem dient
Das ist Unsinn, denn das supportet die FRITZ!box schon lange nicht mehr. Die FRITZ!Box supportet lediglich noch PPPoE Passthrough aber wenn du von Exposed Host redest machst du überhaupt keinen „Modem“ Betrieb sondern unnötigerweise doppeltes NAT und doppeltes Firewalling in einer Router Kaskade mit den üblichen möglichen Nachteilen. Siehe dazu auch hier und hier!
Besser ist es den MT mit einem wirklichen NUR Modem wie Zyxel VMG3006, Vigor167 usw. direkt am ISP zu betreiben und die Fritte nur als IP Host im internen LAN laufen zu lassen. (Z.B. als reine VoIP Anlage)
Willst du dennoch eine Kaskade weiterbetreiben ist es deutlich sinnvoller das 2te NAT und Firewalling zu deaktivieren auf dem kaskadierten MikroTik wie es das hiesige Mikrotik Tutorial gleich im ersten Kapitel beschreibt!
Dadurch machst du ein sauberes, transparentes Routing und rennst gar nicht erst in die o.a. Problematik.
Das war mir so nicht bewusst
Genau deshalb ist es als kundiger Administrator immer hilfreich das Handbuch und die Firmware Release Notes zu lesen… MikroTik wieder mit PPPoE…
Ja, das ist richtig! Siehe dazu auch HIER und auch HIERDie andere Möglichkeit für den Fall das du deine Kaskade so weiterbetreiben willst und doppeltes NAT zu vermeiden wäre, wie oben schon gesagt, das NAT und Firewalling am MT Koppelport zur FRITZ!Box auszuschalten und dort einfach nur transparent zu routen.
Das o.a. Mikrotik Tutorial beschreibt dieses einfache Setup im Detail.
Beide Verfahren führen zum Erfolg!
Moin...
Frank
Zitat von @RuDI20:
ich habe nun ein draytek 166 modem dran mit bridge mode und habe das problem leider immer noch.
wo hast du das dran?ich habe nun ein draytek 166 modem dran mit bridge mode und habe das problem leider immer noch.
Was könnte man dann noch tun?
hm... nen Kuchen Backen, deine Frau zum Essen einladen, oder uns einfach mal aufzeigen wie du etwas angeschlossen hast!Frank
ich habe nun ein draytek 166 modem dran mit bridge mode
Wirklich korrekt eingestellt und das Modem auch das Provider Tagging machen lassen? Nicht das du wieder doppeltes NAT im Router Mode machst?! https://idomix.de/supervectoring-draytek-vigor-165-als-modem-einrichten
Du kannst das auch sehr einfach checken. Gehe auf http://myexternalip.com und vergleiche dort die dir angezeigte IP Adresse mit dem deines MikroTik WAN Ports! Die IPs müssen identisch sein. Ist das der Fall arbeitet dein Vigor wirklich als NUR Modem.
Wenn das so umgesetzt wurde und du entsprechende Internet Verbindung zum Provider hast nutze als VoIP Endgerät einmal ein einfaches Softphone wie Phoner oder Phoner Lite
https://phoner.de/index.htm
https://lite.phoner.de/index_de.htm
Dort konfigurierst du deine SIP Credentials und testest einmal die Voice Verbindung. Sollte es wider Erwarten dort auch scheitern sieh in die Logs. Dort ist meistens der Grund mitgelockt warum die Verbindung dann scheitert.
Wenn alle Stricke reißen installierst du auf dem Softphone Rechner parallel den [ Wireshark Sniffer] und siehst dir die Voice Verbindung einmal genau an wenn du einen Ruf startest und auch wenn ein Ruf eingeht. Auch dort wird explizit ein Grund angezeigt warum es scheitert.
Wenn es das denn nun war bitte nicht vergessen deinen Thread dann auch als erledigt zu schliessen!
How can I mark a post as solved?
How can I mark a post as solved?