FritzBox 7490 Labor VoIP Verschlüsselung möglich?

[sonyKatze]

sip-uri von den Providern "blockiert"

Wenn Du in Deinem SIP-Telefon den Outbound-Proxy frei lässt, dann macht er ein DNS-NAPTR und danach ein DNS-SRV auf die Domain in der SIP-URI. Wenn die DNS-Records richtig hinterlegt sind, weiß so Dein Telefon mit welchem Transport (TLS, TCP oder UDP), welchem Port (normalerweise 5060 oder 5061) und mit welcher Domain (üblicherweise die gleiche wie in der SIP-URI) das Telefon eine Verbindung aufbauen soll. Aber wenn der SIP-Provider solch eingehende Anrufe nicht akzeptiert, dann geht das nicht – ich vermute das meinst Du mit „blockiert“.

1&1 Kunden könnten theoretisch SIP URI Calls über ihren Provider mit anderen 1&1 Kunden führen.

Gibt es dafür irgendwo einen Thread?

 

[koyaanisqatsi]

Aufgrund der Seltenheit der Nutzung, ist ja auch irgendwie sinnfrei, gibt es eher Randbemerkungen in Threads darüber.
...hab jetzt aber auch nicht explizit gesucht.

Die ursprüngliche Info darüber fand ich hier...
http://wiki.ip-phone-forum.de/anbieter:1und1:start
...welche vielleicht noch über eine "Way Back Machine" erreichbar ist.

 

[henry90]

Gibt es dafür irgendwo einen Thread?

Vor etlichen Jahren wurde viel diskutiert über SIP-URIs, die blockiert werden, wenn der Anruf über ein fremdes Netz kommt.
Innerhalb des selben Netzes gab es keine Probleme. Als Beispiel sei genannt:
https://www.teltarif.de/arch/2006/kw33/s22737.html

SIP-URIs von der Art
Benutzername@dyndns
klappten aber schon immer.

 

[sonyKatze]

1&1 Kunden könnten theoretisch SIP URI Calls über ihren Provider mit anderen 1&1 Kunden führen. […] Es ist ja auch keine direkte Verbindung über Provider.

Mhm. Ich stehe irgendwie noch auf dem Schlauch. Im Wiki stand nur, dass die SIP-URI [email protected] wäre. Das macht man eh mit jeder Rufnummer – weil eine Rufnummer keine Domain hat, fügt Dein SIP-Client den Proxy als Domain an: [email protected]. Dabei geht man dann über den SIP-Provider und bekommt keine direkte Verbindung. Daher stehe ich irgendwie noch dem dem Schlauch.

Was bei 1&1 mal ging, war eine Telefonnummer mit einem SIP-Konto verheiraten. Die Telefonnummer konnte bei jedem beliebigen Anbieter liegen. Hat dann ein 1&1-Kunde diese Nummer angerufen, ist das Telefonat nicht über den eigentlichen Anbieter aufgebaut worden sondern blieb im Netz von 1&1. Meinst Du das?

 

[koyaanisqatsi]

Daher stehe ich irgendwie noch dem dem Schlauch.

Siehste, da biste auf die Sinnfreiheit reingefallen.
1. 1&1 Kunden haben Flats, gratis SIP URI Calls, 1&1 Kunde zu Kunde sind überflüssig.
2. Zumal dies über eine registrierte ( authorisierte ) 1&1 Nummer erfolgen muss
3. Über den Provider mit seinen Beschränkungen

Also nur ein überflüssiges Feature.
Obwohl, vielleicht bekommt man so die echte aktuelle öffentliche IP des Kunden ( im "Contact:" SIP Header ) und könnte anschliessend einen direkten SIP URI Call ohne Provider aufbauen.
...also so eine Art: SIP Ping

 

[sfritz]

Anscheinend ist AVM tatsächlich auf mein Schreiben eingegangen. Die aktuelle Labor-Version soll SRTP und TLS unterstützen:

- Telefonie: Unterstützung für verschlüsselte Telefonie

und

- **NEU** Unterstützung für verschlüsselte Telefonie (TLS und SRTP) für Telekom, Easybell und dus.net

 

[koyaanisqatsi]

Moinsen


Momentan kann dies aber nur der Anbieter "sehen".
Auf FRITZ!Box Seite ist keine Angabe oder ein Hinweis zu beobachten.

Anbieterseite ( lokaler Asterisk )
Hier eine laufende Verbindung und ganz Unten stehts dann...
( Modell und Firmware: Siehe SIP User agent: )

sip show channel [email protected]

  * SIP Call
  Curr. trans. direction:  Incoming
  Call-ID:                <hash>@192.168.188.1
  Owner channel ID:       SIP/1002-0000000a
  Our Codec Capability:   (g722|alaw|ulaw)
  Non-Codec Capability (DTMF):   1
  Their Codec Capability:   (ulaw|g726|alaw|g722|g729|ilbc)
  Joint Codec Capability:   (g722|alaw|ulaw)
  Format:                 (g722)
  T.38 support            No
  Video support           No
  MaxCallBR:              384 kbps
  Theoretical Address:    192.168.188.1:5060
  Received Address:       192.168.188.1:5060
  SIP Transfer mode:      open
  Force rport:            Auto (No)
  Audio IP:               192.168.188.9 (local)
  Our Tag:                <hash>
  Their Tag:              <hash>
  SIP User agent:         AVM FRITZ!Box 7590 (UI) 154.07.19 (Dec 17 2019)
  Username:               1002
  Peername:               1002
  Original uri:           sip:[email protected]
  Caller-ID:              1002
  Need Destroy:           No
  Last Message:           Rx: ACK
  Promiscuous Redir:      No
  Route:                  <sip:[email protected];uniq=<hash>>
  DTMF Mode:              rfc2833
  SIP Options:            100rel replaces replace
  Session-Timer:          Inactive
  Transport:              UDP
  Media:                  SRTP

TLS ( SIPS ) ist nicht aktiv ( auf Asteriskseite nicht konfiguriert ), aber SRTP

 

[sonyKatze]

Anscheinend ist AVM tatsächlich auf mein Schreiben eingegangen.

Mehr dazu hier…
So gerne ich das auch glauben möchte, so sehr bezweifele ich es. Für das Produkt „SIP Trunk Pure“ der Telekom Deutschland zwingt sie die Hersteller zu SDES-sRTP: „Entweder Du machst mit oder wir können Dich dann nicht verkaufen.“ AVM (und bintec-elmeg und Lancom) scheinen so „lieb“ zu sein und erlauben uns allen SDES-sRTP. Sie hätten das auch machen können wie Zyxel Sphairon mit deren Digitalisierungsbox BASIC – nur für Telekom Deutschland. Wobei so richtig schön ist das bei AVM noch nicht, denn wir Endkunden haben bisher keine Kontrolle über die Trust-Anchors für SIP-over-TLS.

Auf FRITZ!Box Seite ist keine Angabe oder ein Hinweis zu beobachten.

Du meinst, dass man (an der FRITZ!Box) während einem Gespräch nicht merkt, ob man verschlüsselt telefoniert oder nicht. Du könntest die FRITZ!Box so einstellen, dass sie sowohl SIP-over-TLS als auch SDES-sRTP erzwingt bzw. erfordert. Wenn eines davon fehlschlägt, klappt dann das Telefonat nicht. Übrigens: Let’s Encrypt habe ich noch nicht getestet. Aber für 8 Euro im Jahr kannst Du Deinen Asterisk um TLS erweitern – AVM kompatibel – jedenfalls geht jener Trust-Anchor bei mir.

SIPS

Das ist lediglich das URI-Scheme. Du meinst SIP-over-TLS.

Nur ein überflüssiges Feature.

Verstehe immer noch kein Wort. Liegt das vielleicht daran, dass Du immer noch glaubst SIP-URI-Calls hätten zwingend etwas mit dem Provider zu tun? Wenn der Outbound-Proxy nicht gesetzt ist, kannst Du jeden auf der Welt direkt anrufen – DNS sei Dank. Natürlich vorausgesetzt er hat eine öffentlich zugängliche SIP-URI.

 

[Meester Proper]

So gerne ich das auch glauben möchte, so sehr bezweifele ich es. Für das Produkt „SIP Trunk Pure“ der Telekom Deutschland zwingt sie die Hersteller zu SDES-sRTP: „Entweder Du machst mit oder wir können Dich dann nicht verkaufen.“ AVM (und bintec-elmeg und Lancom) scheinen so „lieb“ zu sein und erlauben uns allen SDES-sRTP. Sie hätten das auch machen können wie Zyxel Sphairon mit deren Digitalisierungsbox BASIC – nur für Telekom Deutschland. Wobei so richtig schön ist das bei AVM noch nicht, denn wir Endkunden haben bisher keine Kontrolle über die Trust-Anchors für SIP-over-TLS.

Es gibt keinen Verschlüsselungszwang beim Produkt "DeutschlandLAN SIP-Trunk (Pure)". Weder an Telekom- noch an Fremdanbieteranschlüssen.

Anders sieht es bei Cloud PBX Anschlüssen aus, hier muss an Fremdanbieteranschlüssen verschlüsselt werden, weil die DNS-Einträge für P-CSCF ohne Verschlüsselung nur innerhalb des Telekom-Netzes bzw. über Telekom DNS-Server aufgelöst werden können.