looser27
Goto Top

Pfsense Port Forwarding NAT für VOIP

Nabend allerseits,

ich sitze jetzt schon ein paar Stunden an der Konfig der pfsense. Irgendwie funktioniert das Port forwarding / Outbound NAT nicht so wie es soll.
Ich habe mich an diese Anleitung gehalten, aber es will einfach nicht fliegen.

Hier meine Konfig:

d4871088bc46a578fe3ab31d8b4d76fd

952a866e503e5faaa411751c0683a9bc

5e99432f3c3cee3f1fe1144559de42f8

Wo liegt der Fehler.....ich sehe den Wald gerade vor lauter Bäumen nicht. Ich denke aber, es liegt am NAT, denn raus kann ich telefonieren.

Gruß

Content-Key: 281060

Url: https://administrator.de/contentid/281060

Printed on: December 4, 2022 at 15:12 o'clock

Member: michi1983
michi1983 Aug 25, 2015 at 10:29:52 (UTC)
Goto Top
Hallo,

Wo liegt der Fehler.....ich sehe den Wald gerade vor lauter Bäumen nicht. Ich denke aber, es liegt am NAT, denn raus kann ich telefonieren.
Aus dieser Frage entnehme ich, dass du keine Telefonate rein bekommst?

Was sagt denn das Firewall Log der PfSense?

Gruß
Member: Looser27
Looser27 Aug 25, 2015 at 11:15:11 (UTC)
Goto Top
Da ich raus telefonieren kann, zeigt er nichts auffälliges an.
Ich habe aber noch eine Anleitung in den Tutorrials von @aqui gefunden und das werde ich heute Nachmittag mal testen.

Ansonsten nochmal alles auf Anfang..... face-wink
Member: Looser27
Looser27 Aug 25, 2015 at 11:46:11 (UTC)
Goto Top
Den Artikel in Deinem letzten Link habe ich mal ausgedruckt und werde das heute versuchen.
Member: Looser27
Looser27 Aug 25, 2015 at 19:50:02 (UTC)
Goto Top
Ich hab die pfsense heute nochmal mit einem anderen Image aufgesetzt.
Damit hat dann auch das Port forwarding nach Anleitung geklappt.

Ich habe nur noch ein Problem. Ich kann aus dem Wlan nicht auf das LAN zugreifen. Aber das bekomme ich auch noch hin....Morgen.

Gruß

Looser
Member: aqui
aqui Aug 26, 2015 updated at 08:43:37 (UTC)
Goto Top
Ich kann aus dem Wlan nicht auf das LAN zugreifen.
Das ist auch vollkommen normal für eine Firewall wie jederman weiss !
Die Default FW Regel lautet auf dem Interface DENY any any Sprich es wird alles verboten was nicht ausdrücklich erlaubt ist. Üblich eben für eine korrekte Firewall und ja auch gewollt.

Fazit: Passe die Firewall Regel deines WLAN Segments an und alles ist gut !
Entweder mit "Pass <wlan_segemment> any " als "Scheunentor Regel" die alles erlaubt oder etwas dedizierter das du Traffic ins LAN oder so eben blockst und nur ins Internet erlaubst.
Diese Regeln bestimmst ja DU selber !
Übrigens: Mit einem kurzen Blick unter Status --> System Logs --> Firewall hättest du das auch ganz schnell selbst erkannt ! Deshalb spricht die pfSense mit dir über ihre Logs. Man muss das Gesprächsangebot nur mal annehmen... ! face-wink
Member: Looser27
Looser27 Aug 26, 2015 at 08:47:21 (UTC)
Goto Top
Jups....

ABER: Eine Regel die sagt:

pass
Source - WLAN Net
Destination - LAN net
Port - any

sollte mir doch wohl Zugriff verschaffen, den ich dann weiter einschränken kann.

Laut Log kommt der Zugriff auch zustande, jedoch öffnet sich die Website des Devices nicht (VOIP-PBX).
Greife ich auf die Webseite des NAS mit dediziertem Port zu, funktioniert der Zugriff ohne Probleme.

Da muß ich dann nochmal ran.....
Member: michi1983
michi1983 Aug 26, 2015 at 08:48:34 (UTC)
Goto Top
Zitat von @Looser27:

Jups....

ABER: Eine Regel die sagt:

pass
Source - WLAN Net
Destination - LAN net
Port - any

sollte mir doch wohl Zugriff verschaffen, den ich dann weiter einschränken kann.

Nein, denn es greift immer die 1. Regel zuerst.
Wenn du erst alles erlaubst, sind alle nachfolgenden Regeln obsolete.

Gruß
Member: Looser27
Looser27 Aug 26, 2015 at 08:50:04 (UTC)
Goto Top
Das muß ich dann heute Abend nochmal prüfen.
Member: aqui
aqui Aug 26, 2015 at 08:55:07 (UTC)
Goto Top
Nein, denn es greift immer die 1. Regel zuerst.
Richtig !!
Im Regelwerk gelten 2 grundlegende Regeln:
  • "First match wins" ! Sprich ist eine Regel positiv (Match) werden ALLE folgenden Regeln NICHT mehr ausgeführt. Die Reihenfolge der Regeln ist also essentiell wichtig für deren Funktion ! (Siehe Tutorial wo das MEHRFACH erwähnt ist.)
  • Regeln gelten immer nur INBOUND. Also für Pakete die vom Draht oder WLAN IN die Firewall gehen.

Wenn du das beachtest klappt das auch.
Member: Looser27
Looser27 Aug 28, 2015 at 06:19:27 (UTC)
Goto Top
Mein Vorgehen war schon soweit richtig. Es lag am Device. Hier gab es eine Möglichkeit die Fernwartung aus anderen Netzen zu deaktivieren. Kaum aktiviert funktionierte es.
Member: aqui
aqui Aug 28, 2015 updated at 09:27:49 (UTC)
Goto Top
Hauptsache es rennt nun wie es soll face-wink
Vielleicht postest du nochmal einen Screenshot der finalen Regeln mit denen es jetzt funktioniert. Das hilft sicher auch anderen die die pfSense nutzen mit VoIP Devices am lokalen LAN.
Member: Looser27
Looser27 Aug 28, 2015 updated at 15:41:36 (UTC)
Goto Top
So. Hier noch die Screenshots von den Firewall-Regeln für VOIP im LAN:

NAT:

67b9238758ad8aa570e41c2c2c1d7675

WAN (werden automatisch aus der NAT-Regel generiert):

95c9b9ccf1e6f68f6d8254ba65355e85

LAN:

2422def1f8d2b68c6536cb20aa0f581b

Die IP 192.168.1.250 ist meine Telefonanlage.
Bei meiner Telefonanlage sind eingehend die SIP-Ports UDP 5004-5020 weiterzuleiten.
Zusätzlich noch UDP 5060 für SIP.

Ausgehend habe ich alle UDP Ports freigegeben, weil ich in den Logs eine sehr willkürliche Auswahl von UDP Ports gefunden habe, über die das Gespräch dann geführt wird.
Schränkt man hier ein, kommt das Gespräch nur sporadisch zu stande.
Die LAN-Regeln für SIP und STUN kann man sich eigentlich sparen, wenn man sowieso alle UDP Ports abgehend freigibt.
Member: aqui
aqui Aug 28, 2015 at 17:01:40 (UTC)
Goto Top
Danke fürs Feedback. Das hiesige pfSense Tutorial verweist auf diesen Link face-wink
Member: wonderli
wonderli Feb 21, 2016 updated at 14:36:43 (UTC)
Goto Top
Hallo, musste den Hoster wechseln, dabei auch gleich die Seite umgestellt. Der Link zur Anleitung ist zu meiner Lösung neu hier zu finden: https://www.godo.ch/index.php/2014/01/16/isdn-voip-mit-fritzbox-und-pfse ...
Member: aqui
aqui Feb 22, 2016 at 10:49:31 (UTC)
Goto Top
Dank für das Update. Ggf. kannst du deinen pfSense Screenshot zur Lösung noch direkt hier posten face-wink
(Bild hochladen)
Member: vafk18
vafk18 Nov 05, 2018 updated at 19:49:34 (UTC)
Goto Top
Ich habe eine Frage zum 3. Bild - LAN (Beitrag: Looser27 am 28.08.2015)

Dort werden in der ersten Zeile UDP an Ports 1-65535 weitergeleitet und als VoIP RTP ext. kommentiert.
In Zeile 2 und 3 werden jeweils UDP für Ports 5060 (SIP) und 3478 (STUN) weitergeleitet. Aber diese Ports sind doch schon den Bereich der 1. Zeile von 1 bis 65535 abgedeckt. Oder soll in Zeile 2+3 TCP statt UDP stehen?
Member: aqui
aqui Nov 05, 2018 updated at 19:56:28 (UTC)
Goto Top
An keinem einzigen der LAN Bilder wird irgendwo UDP an Ports 1-65535 weitergeleitet ! Wo bitte siehst du das ?
Außerdem wäre das auch gefährlicher Blödsinn, denn das betrifft ja die gesamte verfügbare TCP/IP Port Range. So einen gefährlichen Unsinn macht niemand der klar denken kann !
Am lokalen LAN Port hat man eh eine (Default) Regel Lokales_net --> Any die ALLES freigibt. Folglich muss man an den lokalen LAN Regeln auch niemals fummeln.
Member: vafk18
vafk18 Nov 05, 2018 at 20:04:51 (UTC)
Goto Top
Ich lese das an dem 3. Bild mit der Überschrift LAN, da steht doch 1-65535.
prtscr capture_2
Member: Looser27
Looser27 Nov 06, 2018 updated at 07:01:36 (UTC)
Goto Top
Moin,

hier die Erklärung:

Ausgehend habe ich alle UDP Ports freigegeben, weil ich in den Logs eine sehr willkürliche Auswahl von UDP Ports gefunden habe, über die das Gespräch dann geführt wird.
Schränkt man hier ein, kommt das Gespräch nur sporadisch zu stande.

Member: vafk18
vafk18 Nov 11, 2018 at 22:46:04 (UTC)
Goto Top
Ich habe jetzt die FritzBox als "nur Telefonie-Box" seit mehreren Tagen problemlos am IP-Anschluß der Telekom im Betrieb, siehe Bilder im Anhang
1
3
2
Member: aqui
aqui Nov 11, 2018 at 22:57:20 (UTC)
Goto Top
Glückwunsch das es klappt ! Und...danke für das Feedback
Member: vafk18
vafk18 Nov 12, 2018 at 00:05:34 (UTC)
Goto Top
Ich habe zu danken dafür, daß ich ermutigt wurde, weiterzumachen face-smile