118080
Goto Top

Starface Einrichtung - Trotz manueller Öffnung ist 5060 closed??

Moin Zusammen face-smile

Ich habe eine Starface Testinstanz zur Hälfte erfolgreich eingerichtet... Alles klappt, ich kann schön telefonieren.. Nur eingehende anrufe gehen nicht..
Habe eingestellt, dass die SF hinter einer NAT ist und den Port 5060 auf die SF weitergeleitet.. Soweit so gut.. Wenn ich nun aber mit einem Tool von aussen schaue wird mir der Port als geschlossen angezeigt :O Ich versteh die Welt nicht mehr.. Ich kann den Port auch manuell in der Firewall öffnen (obwohl dies bei einer NAT Regel automatisch geschieht), aber selbst dann wird mir der Port als geschlossen angezeigt??

Bitte helft mir.. Da kriegt man ja das Gefühl blöd zu sein!

LG Luca

Content-ID: 300406

Url: https://administrator.de/contentid/300406

Ausgedruckt am: 22.11.2024 um 18:11 Uhr

michi1983
michi1983 30.03.2016 um 16:05:14 Uhr
Goto Top
Hallo,

hinter welchem Device (Marke, Modell) steht denn die Starface?

Gruß
Looser27
Looser27 30.03.2016 um 16:12:03 Uhr
Goto Top
Das ist schon richtig so. Kannst Du denn angerufen werden? Dann ist die Einrichtung korrekt.

Grüße

Looser
michi1983
michi1983 30.03.2016 um 16:12:38 Uhr
Goto Top
Zitat von @Looser27:
Das ist schon richtig so. Kannst Du denn angerufen werden? Dann ist die Einrichtung korrekt.
Schreibt der TO ja im ersten Satz, dass das nicht geht face-smile
118080
118080 30.03.2016 aktualisiert um 16:21:57 Uhr
Goto Top
Sorry, vollkommen vergessen.. Wollte noch Hardware Infos geben, ging wohl irgendwie unter. Sorry..
Router/Modem ist ein Zyxel SBG3300 und die Starface läuft als VM..

@Looser27 Leider kann ich nicht angerufen werden..
danaDT
Lösung danaDT 30.03.2016 um 16:22:28 Uhr
Goto Top
118080
118080 30.03.2016 aktualisiert um 16:40:47 Uhr
Goto Top
Diese Ports sind bei der Starface standardmässig 10000-20000 UDP wenn ich das richtig verstanden habe.. Diese habe ich in der Firewall für die Kommunikation von WAN zu 192.168.2.5 (Starface IP) geöffnet.. Habe diese auch an die Starface weitergeleitet.

LG Luca
michi1983
Lösung michi1983 30.03.2016 um 18:07:57 Uhr
Goto Top
Ich habe irgendwo gelesen, dass es manchmal mit NAT zu Problemen kommen kann und deshalb ein 1:1 NAT versuchen soll bzw. bei Home-Routern heißt das oft DMZ bzw. Exposed Host. Das wäre ein Versuch wert. Allerdings sollte dir auch bewusst sein, dass wenn jemand die VM hijacked er auch oft Wege hat den Host zu übernehmen. Je nachdem ob da wichtige Dateien/Dienste sind würde ich mir das gut überlegen.
118080
118080 30.03.2016 aktualisiert um 18:25:21 Uhr
Goto Top
Zitat von @michi1983:
Ich habe irgendwo gelesen, dass es manchmal mit NAT zu Problemen kommen kann und deshalb ein 1:1 NAT versuchen soll
Ist ein versuch wert, muss eifach irgendwie die IP Adresse des SIP Anbieters herausfinden.

bzw. bei Home-Routern heißt das oft DMZ bzw. Exposed Host.
DMZ hat gar nichts mit 1:1 NAT zu tun... Und inwiefern hier eine DMZ helfen soll frage ich mich auch..
Allerdings sollte dir auch bewusst sein, dass wenn jemand die VM hijacked er auch oft Wege hat den Host zu übernehmen.
In einer DMZ besteht die Gefahr allerdings nicht, ausser man stellt etwas total falsch ein..


Was gäbe es sonst für alternativen zu NAT?
Looser27
Lösung Looser27 30.03.2016 aktualisiert um 18:40:28 Uhr
Goto Top
Hast Du in der Starface Nat eingetragen? Nimm das mal raus.
Im Router brauchst du eingehend nur den Port 5060 UDP.

Gruß Looser

P.S.: Es macht schon Sinn die Starface in einer DMZ laufen zu lassen. Die hat ihre eigene Firewall.
118080
118080 30.03.2016 um 18:57:08 Uhr
Goto Top
Das deaktivieren der NAT in Starface brachte leider auch nichts.. face-sad

Klar bei allen Serverdiensten die nach draussen gehen macht es eigentlich Sinn.. Hätte auch noch einen IIS den ich in die DMZ packen könnte.. Steht alles auf meiner ToDoList.. Aber die DMZ ist weder das Pendant zu 1:1 NAT auf Heimgeräten, noch hat die DMZ wahrscheinlich etwad mit diesem Problem zu tun oder? Das war das was ich eigentlich meinte. face-smile
aqui
Lösung aqui 30.03.2016 aktualisiert um 19:03:58 Uhr
Goto Top
Spannend ja auch die Frage wie das Netzwerk auf dem Hypervisor eingerichtet ist ? NAT, Host oder Bridge...?
Kein Wort dazu im Thread aber essentiell wenn die SW in einer VM rennt ?! Bridging wäre von Vorteil...
Sonst ganz einfach tcpdump oder den Kabelhai anschmeissen und checken ob dort SIP Requests sprich 5060 (was forwardest du da eigentlich UDP oder TCP ?) inbound reinkommt !
5060 ist SIP und einen eingehenden Connection Request sollte man dann schon sehen mit dem Sniffer.
Wenn nicht schlägt wie immer zu 98% irgendwo ne Firewall zu !
Sinnvoll wäre das auch mit einem Softphone wie dem phoner http://www.phoner.de voher lokal zu testen.
118080
118080 30.03.2016 um 19:53:42 Uhr
Goto Top
Zitat von @aqui:
Spannend ja auch die Frage wie das Netzwerk auf dem Hypervisor eingerichtet ist ? NAT, Host oder Bridge...?
Ist im Bridge Modus
Sonst ganz einfach tcpdump oder den Kabelhai anschmeissen und checken ob dort SIP Requests sprich 5060 (was forwardest du da eigentlich UDP oder TCP ?) inbound reinkommt !
Kabelhai *lach" der war nicht schlecht ^^ Ich forwarde 5060 UDP.. Habe es aber auch mit UDP und TCP getestet...
118080
118080 30.03.2016 um 21:30:34 Uhr
Goto Top
Es nützt alles nichts... Wie schaue ich mit Wireshark ob die IP Pakete durch die NAT bis zum Starface durchkommen?
aqui
Lösung aqui 31.03.2016 aktualisiert um 08:13:40 Uhr
Goto Top
Wireshark auf dem Rechner starten und checken ob dort eingehende UDP 5060 Pakte kommen !
Macht man eigentlich auch intuitiv.
Um nicht den gesamten anderen Traffic zu sehen und dann den Wald vor lauter Bäumen nicht, solltest du einen Capture Filter aufsetzen der nur Traffic für diese Ziel IP auf den Kabelhai durchlässt oder eben alles an IP, aber dann auf SIP TCP/UDP 5060 filtern um nur SIP anzuzeigen.
Letzteres wäre sinnvoll, denn dann erwischst du auch Pakete mit ggf. falscher IP.

Falls du auf einem Switch snifferst musst du einen Mirror Port auf dem Switch einrichten der dir den Port deines Hypervisors mirrort auf den Snifferport. Damit siehst du dann allen Traffic der vom und zum Hypervisor Switchport geht auf dem Mirrorport. Sprich also allen Traffic der zu deinen VMs geht.
Hier auch wieder mit dem o.a. Filter nach SIP suchen.
Kommt kein SIP dort an, funktioniert dein Port Forwarding nicht !
Ist das der Fall macht es Sinn mal vor und nach den Firewalls zu messen ob dort 5060 anliegt.

Hast du ungemanagte Dummswitches, dann kannst du dir mit einem Trick behelfen.
Fahre die Starface VM runter und gebe dem Wireshark Sniffer im Netz die gleiche IP wie die Starface.
5060 Pakete müssten vom Forwarding dann somit auf dem Kabelhai direkt landen. Jetzt hier wieder Wireshark hochfahren und haimässig auf die SIP Pakete "lauern", sprich einfach anrufen und sehen ob da was ankommt.
Letztere wäre die einfachste Methode und du bekommst garantiert alles mit was von und zur Starface soll und kannst das wunderbar im Wireshark betrachten !
118080
118080 31.03.2016 aktualisiert um 09:33:35 Uhr
Goto Top
Nur mit dem Filter "udp.port == 5060" passiert gar nichts wenn ich auf eine Nummer anrufe auf der Starface..Es erscheint kein Eintrag.. Allerdings benutze ich Wireshark auch zum ersten Mal, weshalb ich einen Fehler meinerseits nicht ausschliessen würde, auch wenn ich momentan keinen Fehler sehe.

Fahre die Starface VM runter und gebe dem Wireshark Sniffer im Netz die gleiche IP wie die Starface.
Wie weise ich Wireshark den eine eigene IP Adresse zu? Oder meinst du ich soll dem Client auf dem Wireshark läuft die IP des Starface zuweisen?


EDIT: Allerdings zeigt er auch keinen Eintrag an, wenn ich nach drausen telefoniere... Aber das funktioniert ja..
michi1983
Lösung michi1983 31.03.2016 aktualisiert um 09:36:50 Uhr
Goto Top
und den mirror port am Switch hast du konfiguriert bzw wo läuft der Wireshark im Netz?
118080
118080 31.03.2016 aktualisiert um 09:47:23 Uhr
Goto Top
Nein, dies kann ich leider nicht, da es ein Unmanaged Switch ist face-confused
Wireshark läuft auf einem Computer im Netz mit der IP 192.168.2.3/24 und die Starface läuft auf 192.168.2.5/24
michi1983
Lösung michi1983 31.03.2016 um 09:56:08 Uhr
Goto Top
Na dann wirst du auch keine Pakete sehen können.
Welches Modell von Switch verwendest du denn? Vielleicht bietet er ja doch eine Möglichkeit...

Ansonsten kauf dir um ~ 50€ einen kleinen 5 Port Mikrotik Router, den kannst du auch als Switch betreiben und der bietet alle Tools die man für solche Zwecke benötigt.
118080
118080 31.03.2016 um 10:15:36 Uhr
Goto Top
Der Switch ist ein LevelOne GEU-2428.. Allerdings hat unser Multifunktionsgerät (Router/Modem/Access Point) auch einen Switch drin.. Ich weiss aber nicht ob der das kann..
Ich denke ich werde keinen Switch kaufen dürfen nur um das Problem zu finden..
Ahaa ich sehe jetzt das Problem.. Vor lauter Wald die Bäume nicht gesehen.. Doof.. Ich kann logischerweise mit Wireshark der auf Client 192.168.2.5 läuft nur eingehende/ausgehende Pakete an dieser IP abfangen.. Allerdings habe ich einen Klon der Starface auf einem Windows Server 2012 R2 mit Hyper-V am laufen.. Dort habe ich logischerweise einen vSwitch kann ich dort irgendwie lauschen?
Looser27
Lösung Looser27 31.03.2016 um 10:25:47 Uhr
Goto Top
Kannst Du nicht mal ein paar Screenshots von der Firewall-Konfig des Routers einstellen?
michi1983
Lösung michi1983 31.03.2016 um 10:39:46 Uhr
Goto Top
@118080, vielleicht ist der Link hier nützlich für dich. Könnte funktionieren so wie ich das verstanden habe face-smile
https://blog.packet-foo.com/2013/04/capturing-packets-of-vmware-machines ...
118080
118080 31.03.2016 aktualisiert um 11:42:42 Uhr
Goto Top
Klar face-smile

NAT:
nat

Firewall:
firewall

hilft das so? Sonst reich ich gerne noch was nach face-smile Ich denke auch nicht dass ich da was falsches gemacht haben, da ich genau so auch schon 2-3 Webserver z.B. weitergeleitet habe..

@michi1983
Kann man das auch für Hyper-V oder XenServer so umsetzen.. Auf diesen beidem habe ich nämlich die Starface Instanzen. Und die Anleitung ist für VMware.. Werde es trotzdem noch vollständig anschauen..
118080
118080 31.03.2016 um 14:05:33 Uhr
Goto Top
Hier mal ein neues Update:
Ich habe nun die Starface runtergefahren und der Wireshark Maschine die IP der Starface zugewiesen.. Und wenn ich da anrufe kommen UDP Pakete mit dem Port 5060 an.. Also funktioniert die Weiterleitung ja schon mal.. Oder?
michi1983
Lösung michi1983 31.03.2016 um 14:10:26 Uhr
Goto Top
Zitat von @118080:

Hier mal ein neues Update:
Ich habe nun die Starface runtergefahren und der Wireshark Maschine die IP der Starface zugewiesen.. Und wenn ich da anrufe kommen UDP Pakete mit dem Port 5060 an.. Also funktioniert die Weiterleitung ja schon mal.. Oder?
Scheint zu passen ja.
Hast du denn auf der Starface definitiv keinen alternativen Port definiert? Also wird dort auch definitiv auf dem Port 5060 gelauscht?
118080
118080 31.03.2016 aktualisiert um 14:42:24 Uhr
Goto Top
Ich habe nie einen alternativen Port definiert und der Standard Port ist 5060..
Ich habe jetzt auf der Wireshark Maschine ein einfaches Softphone installiert und den SIP Account angebunden, gleiches Ergebnis:
Anrufe raus gehen und Anrufe rein kommen nicht durch *grrr*
aqui
Lösung aqui 31.03.2016, aktualisiert am 01.04.2016 um 10:42:50 Uhr
Goto Top
Wireshark läuft auf einem Computer im Netz mit der IP 192.168.2.3/24 und die Starface läuft auf 192.168.2.5/24
Was stand oben ???
Zitat:
Hast du ungemanagte Dummswitches, dann kannst du dir mit einem Trick behelfen.
Fahre die Starface VM runter und gebe dem Wireshark Sniffer im Netz die gleiche IP wie die Starface.
5060 Pakete müssten vom Forwarding dann somit auf dem Kabelhai direkt landen. Jetzt hier wieder Wireshark hochfahren und haimässig auf die SIP Pakete "lauern", sprich einfach anrufen und sehen ob da was ankommt.
Letztere wäre die einfachste Methode und du bekommst garantiert alles mit was von und zur Starface soll und kannst das wunderbar im Wireshark betrachten !

Es wäre mehr als fair uns gegenüber die dir helfen wollen wenn du die Threads auch mal richtig LESEN würdest !!!
Hättest du das gemacht wären die 6 obigen Threads und Screenshots vollkommen überflüssig gewesen !! face-sad


Fazit: Fahre die Starface VM runter und gebe dem Sniffer die gleiche IP.
Ruf an
Checke ob UDP 5060 Traffic reinkommt...auch ohne Filter um sicher zu gehen das du den Kabelhai richtig bedinest.
Kommt nix an mit UDP 5060 funktioniert dein Forwarding NICHT oder irgendwo schlägt ne Firewall zu.
Dann nimmst du den Sniffer und checkst das Abschnitt für Abschnitt wo du nach UDP 5060 sehen kannst und wo nicht !!
Sagt einem doch auch schon der gesunde Menschen (oder IT) Verstand !!
118080
118080 31.03.2016 aktualisiert um 17:37:51 Uhr
Goto Top
@aqui Wärst du so freundlich und würdest mal oben ein wenig lesen bevor du mich hier zu unrecht anfährst!!! Ich habe GENAU das alles gemacht! :@
aqui
Lösung aqui 01.04.2016 um 10:46:25 Uhr
Goto Top
Sorry...ich nehme alles zurück und behaupte das Gegenteil !!
OK, wenn die SIP Pakete ankommen hast du ein Starface Problem !
Jetzt wäre es hilfreich mit dem Kabelhai die SIP Kommunikation zwich Caller und Starface anzusehen um genau zu sehen WAS da schiefläuft !
Mit einem billigen Dummswitch ohne Mirror Port ist das nicht einfach....

Lösung:
Boote ein Live Linux wie Knoppix. Starte den Kabelhai dadrauf und stecke eine 2te NIC dazu, das kann ein USB Adapter (Laptop) oder was auch immer sein.
Dann richtest du eine Bridge ein und snifferst den Traffic mit:
http://www.heise.de/netze/artikel/Ethernet-Bridge-als-Sniffer-Quelle-22 ...

Oder...wenn du im Bastelschrank noch einen alten Ethernet Hub hast (kein Switch !) kannst du den auch dazwischenklemmen.
118080
118080 01.04.2016 aktualisiert um 11:16:09 Uhr
Goto Top
Zitat von @aqui:
Sorry...ich nehme alles zurück und behaupte das Gegenteil !!
Ja, sorry ich war auch nicht ganz freundlich zuletzt ^^
OK, wenn die SIP Pakete ankommen hast du ein Starface Problem !
Jetzt wäre es hilfreich mit dem Kabelhai die SIP Kommunikation zwich Caller und Starface anzusehen um genau zu sehen WAS da schiefläuft !
Was meinst du mit Caller? Das Softphones seitens Starface? Falls ja habe ich es ja auch auf der Wireshark Maschiene mit einem anderen Softphone versucht, was sich direkt mit dem SIP-Provider verbinden sollte.. (Um Probleme bei der Kommunikation zwischen Strafe Server und Client auszuschliessen) => klappt auch nicht
Mit einem billigen Dummswitch ohne Mirror Port ist das nicht einfach....
Lösung:
Boote ein Live Linux wie Knoppix. Starte den Kabelhai dadrauf und stecke eine 2te NIC dazu, das kann ein USB Adapter (Laptop) oder was auch immer sein.
Dann richtest du eine Bridge ein und snifferst den Traffic mit:
http://www.heise.de/netze/artikel/Ethernet-Bridge-als-Sniffer-Quelle-22 ...
Ich habe leider keine Netzwerkkarte rumliegen.. Muss mal schauen ob ich irgenwo eine ausbauen kann :/ Wir haben aber fast nur OnBoard LAN Karten..
EDIT: Ich hab diversen Müll: Prozessoren, RAM, GraKas, Netzteile, Mainboards, aber keine Netzwerkkarte :@ Gibts einen anderen Weg?
EDIT2: Ich habe allerdings einen Server mit zwei NICs, auf den die Mitarbeiter ein wenig verzichten könnten! Ist das eine Idee?
118080
118080 01.04.2016 um 14:28:10 Uhr
Goto Top
Es lag anscheinend an der Einrichtung der SIP Leitungen.. Ich konnte anrufen aber nicht angerufen werden... Laut dem Support Mitarbeiter hatte ich einfach Pech, dass keiner der zwei Provider auf der Starface lief.
Bin nun weder glücklich noch unglücklich ^^

Trotzdem danke für eure Bemühungen face-smile
aqui
aqui 01.04.2016 um 19:22:23 Uhr
Goto Top
Was meinst du mit Caller?
Na wie der Name schon sagt...den der anruft face-wink
dass keiner der zwei Provider auf der Starface lief.
Mmmhhh...was soll uns das jetzt sagen ??
Falsch konfiguriert ?
Starface kann kein SIP ?
Bahnhof ?
Looser27
Looser27 01.04.2016 um 21:29:11 Uhr
Goto Top
Wahrscheinlich passt das verwendete Profil nicht 100%ig. Die Starface ist eigentlich sehr einfach zu konfigurieren und kann natürlich SIP.
118080
118080 01.04.2016 um 22:34:36 Uhr
Goto Top
Der Herr vom Support meinte, dass er in der Konfiguration des SIP-Profils bei beiden keinen Fehler sehen würde. Allerdings meinte er auch, das SIP der Standard wäre, der wenigsten definiert wäre.. Er vermutete aber den Fehler trotzdem irgendwo dort.
aqui
aqui 02.04.2016 um 08:18:18 Uhr
Goto Top
Wo ?? Im SIP oder im Profil oder in der Konfig ??
SIP ist eigentlich SIP und die Lingua Franca im VoIP Telefoniebereich (jedenfalls bei Endanwendern) Da kann eigentlich jeder mit jedem...wie bei Ethernet....
Da geht der Star vom Starface aber gerade unter...