[Gelöst] Reboots auf OpenPhone IP-Endgeräten im VPN-Netzwerk

In diesem Forum wurde dann und wann von Reboots auf IP-Endgeräten in VPN-Netzwerken berichtet. Diese erfolgen immer nach dem gleichen Muster: nach einer gewissen Zeit der Inaktivität (keine Gespräche, kein LED-Zustandswechsel, kein Anruf) löst das Hörerabnehmen, ein Tastendruck oder ein eingehender Anruf einen Reboot auf ebendiesem IP-Endgerät aus. Beim OpenPhone 75IP wird beispielsweise auf dem Display angezeigt:

IP PHONE terminated
IP PHONE module load
IP PHONE application start
please wait
starting protocol

Danach ist das Endgerät wieder bereit. Ein allfälliger Anruf ist aber bereits verpasst; er ist aber in der Anrufliste protokolliert. Weil das Problem nur dann auftritt, wenn das Endgerät per VPN angeschlossen ist, fiel der Verdacht natürlich sofort auf die VPN-Router. Es zeigte sich, dass die Probleme mit Firewalls verschiedener Hersteller auftreten, aber nach unterschiedlichen Wartezeiten.

Bei Firewalls vom Typ ZyXEL ZyWALL tritt das Problem alle 2.5 Stunden auf. Die Zeit von 9000 Sekunden entspricht dem Connection Tracker bzw. State Table Timeout für hängende Sessions. Der Workaround besteht darin, dass diese Zeit erhöht wird. Bei der aktuellen ZyXEL ZyWALL USG-Serie lässt sich der Wert bis auf 432000 Sekunden erhöhen, was fünf Tagen entspricht. Dadurch wird die Wahrscheinlichkeit eines Reboots praktisch auf 0 reduziert.

Bei anderen Firewall-Herstellern ist die Zeit sogar kürzer als 9000 Sekunden definiert und führt folglich dazu, dass die Reboots tendenziell noch häufiger auftreten können.

Die beste Lösung wäre freilich, wenn Aastra ihr eigenes VoIP-Protokoll so anpassen könnte, dass es "firewallfreundlicher" wäre. Denn das beidseitige Deaktiveren aller Firewall-Funktionen, was einem zweiten funktionierenden Workaround bei ZyXEL ZyWALL-Geräten entspricht, kann ja keine praktikable Lösung sein.

Philippe Balogh/20.12.2009

Bei den ZyWALL USG-Geräten besteht das Problem glücklicherweise nicht mehr. Anfänglich musste dort noch per Konsole ein bestimmter Timeout auf 86400 Sekunden (also 24 Stunden) gesetzt werden, aber mittlerweile ist es nicht mehr notwendig. Mit den VPN-Standardeinstellungen können wir nun alle IP-Geräte anbinden, ohne dass es je wieder Reboots gibt. Ich konnte nur nie feststellen, wer denn das Problem gelöst hat (Aastra mit einem Release 9.1x oder ZyXEL mit einer neueren Firmware). Heute nutzen wir den Release 9.14 auf unserer X320 und alles läuft wunderbar. Vom Gefühl her würde ich vermuten, dass die Verbesserungen bei ZyXEL umgesetzt worden sind, denn ich hatte nie in einem Aastra-Bugfix-Bericht je von einer diesbezüglichen Änderung gelesen.

Seit an unserem Geschäftssitz nun auch noch ein Glasfaseranschluss in Betrieb ist (Latenzzeiten ins Internet so typischerweise um 2 ms), ist die Gesprächsverbindung über das VPN einen deutlichen Qualitätsschritt vorangekommen. Wir können nun mit der Paketgrösse von 20ms arbeiten und die Gesprächsqualität ist vergleichbar mit der Kommunikation am Anlagenstandort. Der Unterschied ist etwa wie LP zu CD oder Gaslicht zur Glühbirne.