Architekturfrage

[alexpetri]

Hallo,
stellt euch mal vor Ihr hättet ein kleines Netzwerk mit 10 Telefonen und seid an einen externen Provider angeschlossen. Wenn ihr jetzt innerhalb des Netzwerkes anrufen wolltet ginge der Datenverkehr immer über über den Provider. Heisst das nicht ich müsste mir ein keinen SIP-Server hinstellen der entscheidet ob es ein Internes gespräch ist oder ob er nach aussen routen muss?

Wie sehen da die Techniken aus?

 

[gandalf94305]

Mal davon ausgehend, daß Telefon = IP-Telefon bei Dir ist ;-), gäbe es folgende Ideen. Du hast da ein paar Optionen...

- In den Telefonen könnten per Kurzwahl die anderen Teilnehmer gespeichert werden (fixe IP-Adressen), so daß man sich direkt anrufen kann.

- Du könntest einen kleinen Asterisk, SER oder VoIP-Router (Lancom 1722/4) hinstellen, der als lokaler Registrar arbeitet und bei dem sich die VoIP-Telefone mit Zweit-VoIP-Account registrieren. Nun ist es eine Frage der Dialplans/manuell gewählten Präfixe in den Telefonen, wohin welcher Anruf geht.

--gandalf.

 

[alexpetri]

ok das mit VoIP-Router ist eine interessante variante. Das heisst ja dann ich habe dann eine art Trunk mit dem ich dann an den Provider gehe.

 

[gandalf94305]

Genau... schau dir mal Lancom 1722/1724 an. Vor allem könntest Du dort auch Festnetz per ISDN-Amt bereitstellen, so daß die VoIP-Clients dann auch z.B. günstige CbC-Tarife für bestimmte Ziele nutzen könnten.

--gandalf.

 

[alexpetri]

wo wir schon mal bei den Routern sind.(Ich würde einen OpenSER oder Asterisk als Registrar benutzen.) Ich hätte da noch ein anderes Szenario:
Beispielsweise möchten N Mitarbeiter von zuhause aus arbeiten (mit DSL Anschluss). Diesen möchte ich die möglichkeit geben über das Unternehmen zu telefonieren. Also habe ich zwei "NAT-Probleme".
1. Im Unternnehmen: Um den Registrar (der evtl in der DMZ sitzt) zu schützen würde ich erstmal lediglich Port 5060 öffnen und an den Registrar weiterleiten. Jetzt ist die Frage gibt es einen Router mit Firewall der anhand des SIP INVITES dynamisch die Ports für RTP öffnet? so das ich mich quasi vom Homeoffice Registrieren kann, und dann in der Firma kostenlos telefonieren kann und dann auch Über die Firma wieder nach draussen über den Provider gehen kann.
kann das dieser Router - oder ein anderer?

2. Im Homeoffice: Im Homeoffice bräuchte ich ja auch eine Firewall mit stateful SIP Proxy. Was gibt es da für Alternativen? Ich habe mal testweise den Endian Linux Router aufgebaut - der kann das. Nur kann ich keinem zumuten sich einen Rechner damit aufzubauen.

 

[gandalf94305]

Wie wäre es mit einem VPN (kann der Lancom beispielsweise) und dann SIP/RTP über das VPN? ;-)

Das löst die Security allgemein (und die MA brauchen ja ggf. auch noch Zugriff auf Fileserver, etc.) und bietet die SIP-Dienste nur authentisierten, internen Mitarbeitern an. Dies löst auch das Thema "Home Office", denn es wird kein SIP Proxy benötigt - nur ein SIP Client, der auch nicht per Internet raus muss...

--gandalf.

 

[alexpetri]

Hmm, ungern mir geht es eher darum ein VoIP Lösung zu evaluieren die prinzipiell erstmal ohne VPN oder STUN Server auskommt.
Beispielsweise auch bei Unternehmensvernetzung, die sich einen VoIP Anschluss teilen aus welchen Gründen auch immer (bsp. Günstige Konditionen).

Ich weiss es gibt sogenannte Session Border Controller für so etwas. Nur habe ich ein Problem damit das diese ab ca 200 Concurrent Calls anfangen (Zumindest hab ich keine darunter gefunden). Es gibt auch preislich keine Aussagen zu diesen Geräten, was erahnen lässt das diese im oberen 4-stelligen Bereich anzusiedeln sind, da hab ich leider keine Erfahrung damit.
Ich würde gerne wissen, was es für möglichkeiten darunter gibt. Ein Einsatzfeld ist ja da.

 

[gandalf94305]

Ich glaube, Du hast das etwas falsch verstanden. Was ich meinte:

- Verwende z.B. einen Lancom 1724 als Router nach draußen für das Unternehmensnetz. Dieser kann intern als SIP-Registrar fungieren und dann entsprechend VoIP-Gespräche zu SIP-Providern routen. Du könntest sogar eine ISDN-Anlage dort noch anschließen bzw. einen ISDN-Amtsanschluss.

- IP-Phones im Unternehmensnetz (LAN) registrieren sich beim Router und reden ggf. direkt miteinander.

- Home Office Teilnehmer verwenden im einfachsten Fall Softphones auf einem Laptop, der sich per VPN am Unternehmensrouter anmeldet und damit Zugriff auf das LAN bekommt, d.h. auch die Anmeldung des Softphones am Router ermöglicht.

Sinn meines Vorschlags war die Trennung von Connectivity/LAN/VPN von der VoIP-Funktionionalität, denn das gleiche Prinzip könnte ja jemand nutzen, um vom zentralen Server E-Mails abzurufen oder Dateien zu speichern. Ein VPN empfiehlt sich für das Home Office daher ohnehin. Also... warum nicht auf für VoIP nutzen?

--gandalf.

 

[alexpetri]

Ich stimme schon mit deiner Meinung überein.
Ich möchte aber weg gehen von der VPN Lösung und mich nicht direkt am VoIP Provider anmelden, sondern am Registrar des Unternehmens
Ich weiss auch, dass das Unternehmen in diesem Moment als eine art VoIP Provider auftritt.

Die Idee dahinter ist rein hypotetisch - ich suche nur nach einer Möglichkeit das ohne die bekannten Varianten zu bewerkstelligen.

 

[gandalf94305]

Das habe ich nun nicht verstanden, denn die vorgeschlagene Lösung bietet ja gerade

mich nicht direkt am VoIP Provider anmelden, sondern am Registrar des Unternehmens

denn der VoIP-Router hat ja einen SIP-Registrar. Du kannst natürlich dafür auch eine andere Software (Software PBX) nehmen...

Gegen die Lösung ohne VPN spricht, daß dann der SIP Registrar (des Unternehmens) im Internet öffentlich sein muss, d.h. wenn nicht zuvor noch ein authentifizierender Proxy vorgeschaltet ist, schlagen Denial-of-Service Versuche etc. direkt auf Deinen VoIP-Registrar durch... oder eben, daß ein gewöhnlicher VoIP-Provider wie sipgate oder dus.net verwendet wird. Die Architektur wird dadurch einfach komplexer als mit einem harmlosen VPN, das normalerweise ohnehin schon existiert, um Home Office Usern Zugriff auf die Unternehmensserver zu geben.

Kannst Du jetzt nochmal Deine Anforderungen spezifizieren? Ich glaube, mir fehlt zum Verständnis irgendein Puzzleteilchen ;-)

--gandalf.

 

[alexpetri]

genau diesen authentifiezierenden Proxy suche ich.
Ich untersuche weitestgehend den Sicherheitsgewinn durch Session Border Controller.(Absicherung des Registrars u.s.w.) Das sind hauptsächlich Geräte die bei größeren Providern stehen
weil sie hochintegriert sind und dementsprchend kosten. Diese bieten nebenbei noch einen gesicherten QoS und einige andere Nettigkeiten.
Da diese rel. teuer sind suche ich nach einer Möglichkeit, ähnliche Funktionalität - also mindestens einen Zugang (VPN unabhängig) zu ermöglichen und den Registrar abzusichern.

 

[gandalf94305]

Ah... ok

Dieser authentifizierende Proxy könnte auch ein Asterisk sein, der entsprechende User dort durchläßt und dann Anrufe einfach auf entsprechende Rufnummern intern bzw. extern weiterleitet. Bezüglich Skalierung hast Du da bei ein paar parallelen Gesprächen eigentlich keine Probleme... und sollte der Asterisk zugemüllt werden, dann stört das den internen VoIP-Registrar überhaupt nicht.

Vorteil dieser Lösung gegenüber anderen: Du könntest so auch IVR-Funktionen nach draußen anbieten, die gezielt den Zugang zum internen Telefonsystem (VoIP) ermöglichen.

--gandalf.

 

[alexpetri]

also bräuchte ich quasi 2 Asterisk Server oder wie? einer der als Proxy funktioniert und einen als Registrar? dann hätte ich aber 2 datenbanken.
gut - bei dem 2.Asterisk Server dürfte sich dann nur der erste Registrieren. das ist doch auch irgendwie Käse?
sehe ich das so richtig? Wenn ich mir die Literatur zu SBCs so anschaue werden die SIP-Pakete an den Internen Registrar fast 1:1 weitergeleitet
was sind IVR Funktionen?

 

[gandalf94305]

Na ja, nur als Proxy würde ja auch ein SER ausreichen ;-)

IVR = Interactive Voice Response... quasi Menüfunktionen per Telefon mit Sprachansagen.

--gandalf.

 

[alexpetri]

hmm, ich weiss nicht ob das so eine gute Idee ist den Proxy einfach so ins externe Netz reinzuhängen. Irgendwie müsste er noch mit der Firewall interagieren können und dynamisch Ports öffnen.
Irgendwie hab ich das Gefühl das ich mich im Kreis drehe.
Ich denke ich schaue mir mal den OpenSER Server mal genauer an.

 

[gandalf94305]

Nun, das ist genau der Grund, warum Border Manager (für welche Protokolle auch immer) etwas teurer sind ;-)

 

[alexpetri]

Schau mal hier im letzten Beitrag:
http://www.voipuser.org/forum_topic_6413.html

auch das bestätigt meine annahme das es keine wirkliche alternative dazu gibt.
So, eine sch... das wird eine tolle Arbeit wenns fertig ist.