Fritz!Box Fon hinter Watchguard Firebox X 1000?

[Drexel]

Hallo,

ich betreibe hier eine Fritz!Box Fon hinter einer Watchguard Firebox X 1000. Neuste Firmware, Daten alle richtig eingegeben (ohne Assistent), Stun-Server eingetragen, keine Ports weitergeleitet.

Auf der Status-Seite steht, dass der VoIP-Anbieter erfolgreich registriert wurde und auf der Sipgate-Seite steht auch, dass ich online bin. Aber telefonieren kann ich nicht. Wenn ich anrufen will, höre ich dieses Piepen wie wenn man den "Keine Anschluss unter dieser Nummer"-Spruch hört und wenn ich versuche die VoIP-Nummer anzurufen kommt nach etwas Wartezeit ein Besetzt-Zeichen. Wenn ich anrufen will, steht im Log noch diese Meldung: "21.02.06 07:11:37 Internettelefonie mit 02102405135 über sipgate.de war nicht erfolgreich. Ursache: (503)"
Auch wenn ich da so mit dem Assistenten einrichte, funktioniert es nicht.

Wenn ich die Ports weiterleite, die unter https://secure.sipgate.de/faq/index.php?aktion=anzeigen&type=&rubrik=100#num1 beschrieben sind und keinen stun-Server in der Box einstelle funktioniert es auch erstmal nicht (ohne Assistent). Wenn ich die Nummer aber jetzt mit dem Assistenten einrichte und der die Verbindung testet und mir mitteilt, dass alles in Ordnung ist, dann kann ich raustelefonieren, ich kann meinen Gesprächspartner aber dann nicht hören, er mich aber schon. Angerufen werden kann ich auch nicht, nur anrufen.

Ich vermute, dass da irgendwas mit der eingehenden Verbindung nicht funktioniert, aber genau wissen tu ich es nicht.

Hat jemand eine Ahnung, woran das liegen könnte?

 

[rollo]

Hört sich nach einem NAT Problem an. Du musst die richtigen Ports in der Firewewall freischlalten und auch sagen, dass sie zu der IP der Fritz!Box genattet werden sollen. Benötigt werden

SIP Listen UDP 5060
RTP UDP 8087- 8097
muss 7077- 7097 sein

jo

 

[Drexel]

Also ich habe nun folgende Ports weitergeleitet:

Port: 5060 / UDP (SIP-Signalisierung)
Port: 5004 / UDP (RTP, Sprache)
Port: 10000 UDP (STUN)
8087- 8097
7077-7087

Funktioniert trotzdem nicht.

 

[rollo]

sorry, hatte falsche Ports gepostet, ist weiter oben berichtigt.

Kann aber auch was grundsätzliches sein. Hat die Watchguard evtl. einen vordefinierten SIP Proxy? Wenn es ein paar Tage Zeit hat kann ich mir das mal näher ansehen, komme aber frühestens Donnerstag dazu.

jo

 

[rollo]

Ich bin hier noch ein Antwort schuldig:

Im Gegensatz zu einfachen SOHO routern hat die Watchguard eine Firewall, die auch Traffic von innen nach aussen blockt. Deshalb müssen dem VoIP Client auch die Standardports erlaubt (nicht geforwardet) werden. Dazu gehören zumindest DNS, evtl. HTTP, HTTPS, NTP, STUN. Ein explizites Forwarding ist nur für die SIP und RTP Ports Ports (bzw. dem IAX2 Port) notwendig.

Ich würde für den VoIPclient eine Regel anlegen, die für outgoing alles erlaubt und für o.a. Ports einen custom service mit den entsprechenden allows (incoming) anlegen. (Ob es einen Service SIP oder IAX vordefiniert gibt, konnte ich leider nicht feststellen, würde aber auch in den wenigsten Fällen passen).

jo