Pfsense mit easybell VoIP Cloud Anlage
Hallo Forum,
ich werde in ein paar Monaten von der Telekom nach Easybell Buisiness wechseln. In meinem Paket ist auch die Easybell Cloud Telefonanlage.
Zur Zeit nutzen wir eine lokale 3CX Anlage. Hier ist die Einrichtung in unserer pfsense einfach. Unter Firewall-NAT haben wir die erforderlichen Ports freigegeben und alles ist ok.
Nach dem Wechsel zu Easybell dreht sich das Szenario aber um. Unsere Telkefone verbleiben im LAN und die neue Cloud Anlage ist im Internet. Die Frage ist nun wie ich hier evtl. die Ports freigeben kann damit alle Telefone (die alle eine eigene feste IP haben) für SIP und RTP die Cloud Anlage erreichen. Aus und Eingehend wobei Ausgehend ja eh frei ist.
Ich kann ja nicht für jedes VOIP Telefon einen eigenen NAT Port Forwarding frei machen für SIP und RTP.
Die Frage ist nun wie ich unsere pfsense (Version 2.5.0) hier richtig Konfiguriere. Easybell sagt auf Ihren Hilfeseiten man soll die Ports nur Freigeben aber nicht Weiterleiten. Ist das nicht dasselbe bei pfsense ?
Bin jetzt gerade etwas verwirrt wo ich hier den Lösungsansatz finden muss.
Gruss
Walter
ich werde in ein paar Monaten von der Telekom nach Easybell Buisiness wechseln. In meinem Paket ist auch die Easybell Cloud Telefonanlage.
Zur Zeit nutzen wir eine lokale 3CX Anlage. Hier ist die Einrichtung in unserer pfsense einfach. Unter Firewall-NAT haben wir die erforderlichen Ports freigegeben und alles ist ok.
Nach dem Wechsel zu Easybell dreht sich das Szenario aber um. Unsere Telkefone verbleiben im LAN und die neue Cloud Anlage ist im Internet. Die Frage ist nun wie ich hier evtl. die Ports freigeben kann damit alle Telefone (die alle eine eigene feste IP haben) für SIP und RTP die Cloud Anlage erreichen. Aus und Eingehend wobei Ausgehend ja eh frei ist.
Ich kann ja nicht für jedes VOIP Telefon einen eigenen NAT Port Forwarding frei machen für SIP und RTP.
Die Frage ist nun wie ich unsere pfsense (Version 2.5.0) hier richtig Konfiguriere. Easybell sagt auf Ihren Hilfeseiten man soll die Ports nur Freigeben aber nicht Weiterleiten. Ist das nicht dasselbe bei pfsense ?
Bin jetzt gerade etwas verwirrt wo ich hier den Lösungsansatz finden muss.
Gruss
Walter
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 665346
Url: https://administrator.de/contentid/665346
Ausgedruckt am: 21.11.2024 um 17:11 Uhr
20 Kommentare
Neuester Kommentar
Die Technik von Easybell kommt super mit NAT klar. Im Gegensatz zu anderen Anbietern haben die kein Problem mit NAT und passen sich super an.
Du musst nur dafür sorgen, dass die Telefone ausgehend durch die Firewall durchkommen, eingehend ist nicht notwendig, kein Portforwarding, keine Firewallöffnung, kein SIP-ALG oder -Proxy.
Du musst nur dafür sorgen, dass die Telefone ausgehend durch die Firewall durchkommen, eingehend ist nicht notwendig, kein Portforwarding, keine Firewallöffnung, kein SIP-ALG oder -Proxy.
Wichtig ist lediglich (sonst funktioniert es auch mit easybell nicht), dass die Telefone wissen, dass sie hinter einem NAT sitzen und - das ist am wichtigsten - symmetrisches RTP machen. Mit symmetrischem RTP steht und fällt es
Manche Telefone senden ihren RTP-Stream auf Port X, empfangen ihn aber auf Port Y. In dieser Konstellation kommt dann die Sprache der Gegenstelle nicht durch das NAT.
Bei Symmetrischem RTP wird nur ein Port verwendet, auf dem gleichzeitig gesendet und empfangen wird. Dadurch, dass der Port in beide Richtungen genutzt wird, kommt dann auch der Traffic automatisch immer durch das NAT.
Das gilt aber nicht nur für easybell sondern für jeden VoIP-Anbieter. Dass Leute irgendwelche Port-Forwardings einstellen ist, wenn man diese beiden Einstellungen setzt, für Telefone und Telefonanlagen vollkommen unnötig
Manche Telefone senden ihren RTP-Stream auf Port X, empfangen ihn aber auf Port Y. In dieser Konstellation kommt dann die Sprache der Gegenstelle nicht durch das NAT.
Bei Symmetrischem RTP wird nur ein Port verwendet, auf dem gleichzeitig gesendet und empfangen wird. Dadurch, dass der Port in beide Richtungen genutzt wird, kommt dann auch der Traffic automatisch immer durch das NAT.
Das gilt aber nicht nur für easybell sondern für jeden VoIP-Anbieter. Dass Leute irgendwelche Port-Forwardings einstellen ist, wenn man diese beiden Einstellungen setzt, für Telefone und Telefonanlagen vollkommen unnötig
Dass Leute irgendwelche Port-Forwardings einstellen ist, wenn man diese beiden Einstellungen setzt, für Telefone und Telefonanlagen vollkommen unnötig
Steht auch mehrfach auf den Hilfeseiten von easybell.https://www.easybell.de/hilfe/fragen/fragen-zum-telefonanschluss/antwort ...
Hinweise
Auf keinen Fall eine Port-Weiterleitung aktivieren!
Auf keinen Fall eine Port-Weiterleitung aktivieren!
Gute Entscheidung. Easybell ist ein solider Anbieter mit vorzüglichem Support. Derzeit mit etwas langsamem Webinterface... Habe mehrere zufriedene Kunden dort.
Ich schließe mich den Kollegen @tikayevent und @LordGurke an. Die Anbindung der Telefone sollte bei aktivem NAT ohne weiteres laufen.
Ergänzen möchte ich, dass auch bei der 3CX, wie bei Asterisk generell, grundsätzlich keinerlei Portforwardings erforderlich sind, Da geistert im Netz leider so manche Fehlinformation herum. Nötig ist einzig ein keepalive bzw. qualify, um das connection-timeout zu verhindern. Portforwardings braucht man nur, wenn Apparate oder weitere Anlagen von außen angebunden werden sollen oder providerfreie Telefonie möglich sein soll.
Ok, danke für die Info. Ich arbeite mit Kundensystemen bei Easybell seit fast 10 Jahren und habe nie zuvor eine solche Zufriedenheit von Menschen mit ihrem Anbieter erlebt. Easybell ist da etwas ganz Besonderes. Entweder also Du hast Pech gehabt oder falsche Erwartungen. Dein eigenes Voip-Telefon richten sie Dir natürlich nicht ein.
Aber wenn das alte System rennt, muss man ja auch nicht wechseln.
Erwäge vielleicht noch, die offenen Ports für die 3CX abzuschalten
Gruss
Aber wenn das alte System rennt, muss man ja auch nicht wechseln.
Erwäge vielleicht noch, die offenen Ports für die 3CX abzuschalten
Gruss
Du meinst die Anleitungen hier und hier, nehme ich an?
Gruselig, dass selbst von solcher Seite solche Infos kommen. Ich denke, man macht es sich hier auf Kosten des Kunden einfach, denn man spart die Supportanrufe, weil das Timeout (qualify) nicht korrekt berücksichtigt wurde (oder nicht alle Provider das zulassen). Z.B. @LordGurke weiß hier sicherlich mehr.
In "Asterisk, The Future Of Telephony" lässt sich von den Asterisk-Machern sehr schön nachlesen, dass Asterisk keinerlei Portfreigaben braucht "... not at all", wenn nicht Geräte von Außen angeschlossen werden sollen. Und das betreibe ich seit vielen Jahren in verschiedenen Szenarien für gewerbliche Kunden und mich selbst so. Mit offenen Ports für Asterisk könnte ich nicht ruhig schlafen. Das kann bekanntlich richtig teuer werden (nicht bei Easybell übrigens, die haben eine Kostenobergrenze bei Hacks von ich glaube 10 EUR).
Was auch sollte einen offenen Port technisch brauchen: Der Provider meldet sich nicht bei Dir an, sondern Du Dich bei ihm. Die Anrufe inbound kommen über die (ständig) zum Provider gehaltene Verbindung, haben also schon einen Paketweg. Die Anrufe outbound bauen sich von intern auf. Alles das braucht nur den Weg von innen nach Außen, also simples NAT, keinerlei Portforwarding. Einzig darf die Verbindung zum Provider nicht abreißen. Wenn das aber passiert, hilft wahrscheinlich ein offener Port auch nicht.
Wenn Du es versuchen willst (pfsense speichert ja Deine Konfig): Nimm einfach die NAT-Portforwardings für die Anlage raus, setze (wenn nichts anderes bei Dir dagegen spricht) bei Firewall/NAT/Outbound "Automatic Outbound NAT" und schau, was passiert. Kannst Du telefonieren (und angerufen werden) geht es. Kommen nach kurzer Zeit keine Anrufe mehr durch, fehlt Dir das "qualify" zum Provider (bei den SIP-Einstellungen für den Trunk zum Provider), das kürzer als das UDP-Timeout der pfsense sein muss (das ist, glaube ich bei pfsense Standard 30 Sekunden).
Falls Du andere Regeln für NAT hast, also nicht "Automatic Outbound" nehmen kannst, geht es auch mit "Hybrid Outbound NAT" und Regeln für das Port-NAT. Die wirken dann ohne Portfreigabe.
Viel Erfolg!
Gruselig, dass selbst von solcher Seite solche Infos kommen. Ich denke, man macht es sich hier auf Kosten des Kunden einfach, denn man spart die Supportanrufe, weil das Timeout (qualify) nicht korrekt berücksichtigt wurde (oder nicht alle Provider das zulassen). Z.B. @LordGurke weiß hier sicherlich mehr.
In "Asterisk, The Future Of Telephony" lässt sich von den Asterisk-Machern sehr schön nachlesen, dass Asterisk keinerlei Portfreigaben braucht "... not at all", wenn nicht Geräte von Außen angeschlossen werden sollen. Und das betreibe ich seit vielen Jahren in verschiedenen Szenarien für gewerbliche Kunden und mich selbst so. Mit offenen Ports für Asterisk könnte ich nicht ruhig schlafen. Das kann bekanntlich richtig teuer werden (nicht bei Easybell übrigens, die haben eine Kostenobergrenze bei Hacks von ich glaube 10 EUR).
Was auch sollte einen offenen Port technisch brauchen: Der Provider meldet sich nicht bei Dir an, sondern Du Dich bei ihm. Die Anrufe inbound kommen über die (ständig) zum Provider gehaltene Verbindung, haben also schon einen Paketweg. Die Anrufe outbound bauen sich von intern auf. Alles das braucht nur den Weg von innen nach Außen, also simples NAT, keinerlei Portforwarding. Einzig darf die Verbindung zum Provider nicht abreißen. Wenn das aber passiert, hilft wahrscheinlich ein offener Port auch nicht.
Wenn Du es versuchen willst (pfsense speichert ja Deine Konfig): Nimm einfach die NAT-Portforwardings für die Anlage raus, setze (wenn nichts anderes bei Dir dagegen spricht) bei Firewall/NAT/Outbound "Automatic Outbound NAT" und schau, was passiert. Kannst Du telefonieren (und angerufen werden) geht es. Kommen nach kurzer Zeit keine Anrufe mehr durch, fehlt Dir das "qualify" zum Provider (bei den SIP-Einstellungen für den Trunk zum Provider), das kürzer als das UDP-Timeout der pfsense sein muss (das ist, glaube ich bei pfsense Standard 30 Sekunden).
Falls Du andere Regeln für NAT hast, also nicht "Automatic Outbound" nehmen kannst, geht es auch mit "Hybrid Outbound NAT" und Regeln für das Port-NAT. Die wirken dann ohne Portfreigabe.
Viel Erfolg!
Ich kenn mich mit 3CX nicht ansatzweise aus, hab es nur letztens Mal zum Erfahrung sammeln installiert. Wenn ich es richtig sehe, sind diese Freigaben für die Meeting-Bridge und die Anbindung an deren Cloud (kann 3CX eine Hybrid-Installation wie ein Exchange?).
Vielleicht wäre COMtrexx von Auerswald was für dich. Ist auch nicht für lau, gibt es aber auch als reine Softwarelösung.
Vielleicht wäre COMtrexx von Auerswald was für dich. Ist auch nicht für lau, gibt es aber auch als reine Softwarelösung.
Danke für die Rückmeldung!
Wie ich schon sagte: Mit offenen Ports gibt's weniger Supportanfragen
Wo Du das qualify in 3CX definierst, kann Dir sicher jemand in deren Forum beantworten, falls das überhaupt geht.
Hier (wo es genau um diesen Aspekt geht) wurde es offenbar einfach mit der Anpassung des Timeouts im Router gelöst, das geht in der pfsense natürlich auch. Ich würde es aber immer vorziehen, das individuell in der Anlage anzupassen.
Was andere "Fertig"-Anlagen angeht, finde ich, dass meist irgend etwas fehlt. Es ist und bleibt ein Kompromiss. Wenn 3CX im großen und ganzen läuft, würde ich es dabei belassen. Ich selbst bin vor vielen Jahren mit Spaß in Asterisk eingestiegen und programmiere kleinere Anlagen heute einfach selbst. Das ist - rückblickend betrachtet, recht Easy, aber die Lernkurve ist nicht ganz ohne und es ist ein ewiger Prozess. Und letztlich auch ein Kompromiss:
Man kann zwar nahezu alle Features einbauen, die man mag. So finde ich es zB hübsch, Rechner in der Ferne über das Telefon starten zu können. Oder die Kaffeemaschine...
Nachteil: Man hat kein GUI, es sei denn, man mag das auch noch programmieren. Gerade für kleine Unternehmen ist das aber unnötig bis kontraproduktiv. Die drei Features, die die brauchen, gehen auch über Tastencodes und so fummelt dann auch nicht irgendwer anders in der Installation herum. Das schöne am Asterisk: Er läuft und läuft und läuft.
Wie ich schon sagte: Mit offenen Ports gibt's weniger Supportanfragen
Wo Du das qualify in 3CX definierst, kann Dir sicher jemand in deren Forum beantworten, falls das überhaupt geht.
Hier (wo es genau um diesen Aspekt geht) wurde es offenbar einfach mit der Anpassung des Timeouts im Router gelöst, das geht in der pfsense natürlich auch. Ich würde es aber immer vorziehen, das individuell in der Anlage anzupassen.
Was andere "Fertig"-Anlagen angeht, finde ich, dass meist irgend etwas fehlt. Es ist und bleibt ein Kompromiss. Wenn 3CX im großen und ganzen läuft, würde ich es dabei belassen. Ich selbst bin vor vielen Jahren mit Spaß in Asterisk eingestiegen und programmiere kleinere Anlagen heute einfach selbst. Das ist - rückblickend betrachtet, recht Easy, aber die Lernkurve ist nicht ganz ohne und es ist ein ewiger Prozess. Und letztlich auch ein Kompromiss:
Man kann zwar nahezu alle Features einbauen, die man mag. So finde ich es zB hübsch, Rechner in der Ferne über das Telefon starten zu können. Oder die Kaffeemaschine...
Nachteil: Man hat kein GUI, es sei denn, man mag das auch noch programmieren. Gerade für kleine Unternehmen ist das aber unnötig bis kontraproduktiv. Die drei Features, die die brauchen, gehen auch über Tastencodes und so fummelt dann auch nicht irgendwer anders in der Installation herum. Das schöne am Asterisk: Er läuft und läuft und läuft.
Mach, was Du nicht lassen kannst Ich würde eher einen Bogen um China-Voip-Produkte machen. Yealink jedenfalls. Gute Hardware, durchaus, aber buggy Software und schlechte update-policy, so war bislang mein Eindruck. Vielleicht ist das ja bei Yeastar anders.
Davon abgesehen, das glaub ich nicht:
Außer natürlich die nutzen einen Webdienst o.ä. zum Connect. Das wäre für mich aber noch gruseliger.
Dennoch Good Luck! Und lass gern von Deinen Erfahrungen hören.
Gruß
Davon abgesehen, das glaub ich nicht:
Außer natürlich die nutzen einen Webdienst o.ä. zum Connect. Das wäre für mich aber noch gruseliger.
Dennoch Good Luck! Und lass gern von Deinen Erfahrungen hören.
Gruß
Hab ich nicht behauptet. Ich sprach von China-Voip generell.
Aber: Sicher ein Schelm, wer da einen Zusammenhang sieht: Beide Unternehmen sitzen 12 Autominuten voneinander entfernt
Support
Tel: +86-592-5503301, 972-914-4899 (USA)Fax: +86-592-5503307
Aber das Addison/TX-Office macht offenbar auch Support - für Amerika
Ist nur meine Meinung. Ich gönn Dir Deine von Herzen Jeder hat andere Prioritäten.
Gruß
Aber: Sicher ein Schelm, wer da einen Zusammenhang sieht: Beide Unternehmen sitzen 12 Autominuten voneinander entfernt
Aus meinen Erfahrungen raus baut Yeastar feine Anlagen und ich habe auch noch nichts schlechtes gehört.
Da weißt Du dann mehr als ich. Ich drücke die Daumen. Berichte dann einfach gelegentlich.Support ist auch gut und der kommt aus den USA.
Sieht für mich nach China aus:Support
Tel: +86-592-5503301, 972-914-4899 (USA)Fax: +86-592-5503307
Aber das Addison/TX-Office macht offenbar auch Support - für Amerika
Das mit den keine Ports öffnen stimmt aber. Dazu betreiben die ein Rechenzentrum in Frankfurt.
Das hingegen schrieb ich ja. Mit nem Dienst geht das natürlich. Noch ein Schelm, wer da gleich an MITM denkt.Ist nur meine Meinung. Ich gönn Dir Deine von Herzen Jeder hat andere Prioritäten.
Gruß