Fritz-Fon über WLAN hinter einer Firewall

[jost41]

Wir haben folgende Situation:
Internet-Anschluss (Glasfaser) über eine Fritbox 7490 (Fritz!OS 7.57)
Dahinter eine Firewall, die in der Fritzbox als Exposed Host eingetragen ist, also alles "abbekommt".

Hinter der Firewall hängt nun unser LAN und verschiedene WLAN-Netze.

Wenn wir die Telefonie über FritzFon nutzen wollen, funktioniert zwar das Raustelefonieren - aber ankommende Anrufe werden nicht signalisiert.
Egal was wir versuchen, die FritzBox denkt nicht mal daran, den Anruf in Richtung Firewall zu schicken.

Machen wir bei der Fritzbox das eigene WLAN an funktioniert es prima, aber das war ja nicht unsere Idee.

Inzwischen bin ich ein wenig ratlos und würde mich über Hinweise freuen, welchen Wald ich vor lauter Bäumen nicht sehe.
Vielen Dank für jeden Hinweis,
Benedikt

 

[stoney]

Eingehend funktioniert bestimmt, aber nur, wenn kurz zuvor ausgend gerufen wird, kannst Du das mal testen?

Falls dem so ist musst Du dafür sorgen das die Firewalll immer die Ports für die FonApp offen lässt.

PS: Willkimmen im IPPF

 

[jost41]

Vielen Dank, stoney - auch fürs Willkommen!
Nein, leider funktioniert das nicht - das für mich wirklich Erstaunliche - bei einem eingehenden Anruf versucht die FritzBox gar nicht
erst, Daten in Richtung Firewall zu schieben - jedenfalls wird dort auf Port 5060 nichts dort signalisiert.
Ich glaub ich steh wirklich auf dem Schlauch.....:-(

Nachtrag - die eingegangen und NICHT signalisierten Anrufe sind dann im Verlaufsprotokoll der FON-App zu sehen.....

 

[frank_m24]

Ist es sicher, dass das Mobilgerät über diese Firewall uneingeschränkten Internetzugang hat? Ich vermute, die FON-App ist nicht vernünftig registriert, oder das Mobilgerät holt sich Internet sogar über Mobilfunk.

 

[stoney]

Wenn die App den Port 5060 - ob dieser hier wirklich zur Anwendung kommt, solltest Du in der F!Box unter "Diagnose > Sicherheit" einsehen können - nutzt und man zuvor einen ausgehenden Ruf getätigt hat, welcher klappt und hier auch die Sprache in beide Richtungen, gehe ich davon aus, dass die FW einfach nach 1-5 Sekunden den Port wieder schließt, somit ist die App nicht mehr sauber in der F!Box angemeldet und die F!Box schiebt nichts in richtung der DMZ.

 

[jost41]

Hallo Frank,
vielen Dank für Deinen Support.

Doch, unsere Mobiltelefone haben definitiv uneingeschränkten Internetzugang. Und die FON-App zeigt mir auch brav die Konnektivität zur FB an, inklusive des Namens des Telefoniegerätes (iPhone.....), der internen Nummer etc..
Ausgehend funktioniert es ja auch hervorragend.

Irritierend ist, dass bei einem eingehenden Anruf von der FritzBox so gar keine Anfrage an die Firewall kommt - wir haben die Logs immer aktuell offen und sehen jeden Port, der angefragt wird.

 

[stoney]

Habe es gerade mal getestet, hier wird kein spezieller Port von der App belegt.

Aber außer 5060 spielt ja auch 7077 UDP (IPv4/v6) Telefonie (RTP, RTCP) mit rein, wobei natürlich zunächst über 5060 der Anruf signalisiert werden.

 

[jost41]

Hmmm, ok. Ich werde dann jetzt mal die Ports in der Firewall mit einem direkten Routing versehen - mal schauen, ob es klappt, wenn ich die einfach direkt auf eine bestimmte IP schiebe.
Aber jetzt müssen erstmal meine Kids ins Bett, daher sage ich für heute erst einmal ganz herzlichen Dank.
Toll, dass sich immer Andere finden, die bereit sind, bei der Lösung einer Aufgabe zu helfen

 

[stoney]

Du schaust hier an der falschen Stelle, auch wenn die App aus der DMZ heraus kommt, ist das für die F!Box nicht die WAN-Seite, weshalb es ja überhaupt zumindest ausgehende funktioniert.

Die Firewall der F!Box greift hier ja nicht, da die DMZ-Firewall ja im LAN-liegt, weshalb ja auch der Internetzugriff möglich ist, aber DMZ schottet dieses Gerät nicht vom restlichen LAN der F!Box selbst ab.

Das ist auch immer die Krux, wenn es darum geht zwei F!Boxen in einem Netzwerk, aber kein Subnet darf mit dem anderen kommunizieren > geht nicht nur mit F!Boxen, da es immer eine gibt, welche den Internetzugang stellt (FB1 - wo deren FW greift - richtet man eine FB2 als kaskadierten Router ein, um die Netze zu trennen, sind viele enttäuscht, dass man von FB2 auf alle Geräte bei FB1 zugreifen kann - umgekehrt ginge es nur über Portfreigaben in FB2 bzw wenn man deren GUI erreichen will über den HTTPS-Zugriff auf WAN-Seite).

 

[frank_m24]

Deine Firewall arbeitet ja vermutlich als NAT Router. Da wird das Problem sein. Sind ALGs aktiv? Hält die Fon App ihre Ports offen?

 

[chrsto]

Die Fritz!Box hat Probleme damit, wenn VoIP Telefone im LAN aus einem anderen Subnetz kommen, also noch ein Router dazwischen ist. Das ist hier im Forum schon öfter aufgeschlagen. Solange AVM das nicht behebt, wirst du das nicht zum Laufen bringen.