VOIP hinter pfsense ohne(!) Portfreigaben (und auch ohne STUN und SIP-ALG)

Hallo erstmal in die Runde, dies ist mein erster Post hier, den ich zunächst mit einem dicken Dankeschön einleiten möchte. Ich habe hier schon oft (mitlesend) Hilfe oder zumindest einen sinnvollen Ansatz gefunden um ein Problem zu lösen und obgleich hier der eine oder andere wirkliche Experte dabei ist, ist der Ton selbst bei einfacheren Fragestellungen selten genervt (und wenn, dann meist nicht unberechtigt). Ein ganz besonderes Dankeschön möchte ich @aqui aussprechen, denn ihn lese ich hier am häufigsten (und stets bereichernd), denn meine Steckenpferde sind Netzwerke und das was dran hängt, insbesondere VOIP. Allein die Anleitung zur pfsense Anleitung Firewall ist den Forumsnobelpreis wert, finde ich. Ich kein gelernter Administrator, sondern “Quereinsteiger” und mittlerweile wohl zu alt, um noch ein Studium oder eine Ausbildung zu beginnen Dafür betreue ich auch nur ehrenamtlich kleinste Systeme (<10 Rechner). Was ich brauche, wird gelernt, es gibt ja viele tolle Bücher und wenn was nicht klar wird, dann gibt es Euch. Danke!

Genug der Vorrede, ich habe hier im häuslichen System eine pfsense 2.4.4 im Probebetrieb auf einer virtuellen Maschine, diese soll später auf ein APU-Board umziehen. Das Lernen auf der VM ist super. Man kann ja einerseits in der pfsense jederzeit Konfigurationsschritte rückgängig machen (Diagnostics\Backup & Restore\Config History), andererseits Snapshots der VM machen, wenn bestimmte Stände erreicht sind oder man umfangreicher in eine bestimmte Richtung konfiguriert. So habe ich die pfsense zunächst (anfängertypisch) hinter einer Fritzbox 7490 per exposed host angedockt, damit deren Funktionalität erhalten bleibt und dafür einen Snapshot gemacht, alternativ aber auch eine 7412 zum Modem verwandelt und diesen Ausbau als Snapshot weiter entwickelt (guter Beitrag der c't, kostenfrei recycelt hier: Fritzbox 7412 als Modem. Beides läuft nun, für den endgültigen Modem-Betrieb muss ich aber noch die Faxfunktion umziehen.

Ich habe also aktuell (noch) den Aufbau (für die folgende Fragestellung ist dieser aber irrelevant, die Problematik ergibt sich bei beiden Anbindungsvarianten)


Der Asterisk bekam erwartungsgemäß aus dem LAN keinen Ton und konnte auch nicht angerufen werden. Auf Grundlage diverser Anleitungen hier und bei netgate hatte ich dann in der pfsense (Firewall\NAT\Port Forward) Portfreigaben eingerichtet, einmal für Sip-Port, der bei mir (statt 5060) UDP 5081 ist (weil die Fritzbox den 5060 ja okkupiert) und einmal für die RTP-Ports (UDP 10000-20000). Das lief und läuft wunderbar und scheint die am häufigsten empfohlene Konfiguration zu sein.

Damit konnte und wollte ich mich aber nicht zufrieden geben, denn Portfreigaben sind ja immer Preisgabe eines Stückes Sicherheit und der Asterisk hätte dann zumindest in die DMZ umziehen müssen. Ich habe aber nicht eingesehen, dass ich mit einer pfsense für den Asterisk eine geringere Sicherheit in Kauf nehmen soll als mit einer bloßen Fritzbox, hinter der ein Asterisk ohne jede Portfreigabe läuft, wenn sich alle Telefone im (hier häuslichen) LAN befinden. Auch für die Kombi Fritzbox-Asterisk kursieren im Internet jede Menge (falsche) Konfigurationen, die eine Portfreigabe vorsehen, tatsächlich benötigt ein Asterisk im normalen Umfeld keinerlei Portfreigabe, wie Madsen et al in dem ausgezeichneten “Asterisk - The Definitive Guide” auch klargestellt haben.
Also Fritzbox ohne Portfreigabe, pfsense mit Portfreigabe, das konnte/durfte ja wohl nicht sein. Dann las ich von STUN und SIP-ALG, hatte aber den Eindruck, dass das mit Kanonen auf Spatzen geschossen sein könnte. Es war ja klar, dass das ganze irgendwie mit NAT zu tun hat. Also in und zur pfsense geforscht. Im Ergebnis führte mich das hier auf die (hoffentlich) richtige Spur: pfsense mit VOIP-Phones. In dem Beitrag geht es zwar um die Anbindung von SIP-Phones an externe PBX aber das dort beschriebene Umschreiben der Source-Ports klang für mich wie die Einladung zum Missverständnis von Asterisk und Provider. Unter NAT mit PBX ist dann gut erklärt, wie man das Source-Port-Rewriting abstellt, allerdings nur als Maßnahme neben dem Portforwarding. Meiner Meinung nach genügt aber allein das Unterbinden des Source-Port-Rewriting. Dies erfolgt unter Firewall\NAT\ im Untermenü “Outbound”. Dort habe ich zwei Outbound-NAT Regeln angelegt wie folgt, wobei LAN_Address die Netzwerkadresse (hier 192.168.2.0), Asterisk_Main der Port UDP 5081 (Standard wäre 5060) und Asterisk_RTP die Ports UDP 10000-20000 sind:


Entscheidend ist der Haken bei “Static Port”


Wenn ich es richtig verstanden habe, ist der Hintergrund hier (ganz vorzüglich) erklärt: VOIP hinter Router (@LordGurke: Klasse!) Dort erster Post: symmetrisches RTP vs asymmetrisches RTP.

Darauf konnte ich die Portweiterleitungen löschen. Sehe ich es richtig, dass dies die korrekte (also sicherste) Vorgehensweise ist oder habe ich da etwas missverstanden?

Danke an Euch und schönes Wochenende!

nat = force_rport

> nat = force_rport

 Für VOIP, das hinter hinter der pfsense läuft sind von WAN kommend keinerlei Ports zu forwarden
 SRP ist auszuschalten, mittels einer Regel im Outbound NAT, wie im ersten Post beschrieben
 STUN ist u.U. (u.a.) einzusetzen, wenn die IP nicht fest vergeben ist.

 Für VOIP, das hinter hinter der pfsense läuft sind von WAN kommend keinerlei Ports zu forwarden
>  SRP ist auszuschalten, mittels einer Regel im Outbound NAT, wie im ersten Post beschrieben
>  STUN ist u.U. (u.a.) einzusetzen, wenn die IP nicht fest vergeben ist.
> 

;; Im Provider-Kontext:

[deinprovider]
transport=tcp

;; Für die Registrierung einfach "tcp://" der eigentlichen Register-Zeile präfigieren:  
register => tcp://........