[Gelöst] Fritzbox 7530: Telefoniefunktion abschalten, damit bestehende TK Anlage funktioniert

[jamapii]

Hallo

ich hatte bisher einen DSL-Router ohne Telefonfunktion. Dadurch hat alles funktioniert:

Internet <---> DSL-Router (NAT) <----> interner NAT-Router <----> alte Fritzbox mit VOIP-Anlage <----> Telefone und andere Geraete

Jetzt wurde der "DSL-Router (NAT)" durch eine neue "Fritzbox 7530" ersetzt wegen Vectoring. Die Fritzbox 7530 ist also jetzt DSL-Router. Port forwarding (DMZ) ist eingerichtet, alles sollte so funktionieren wie bisher. (bisher kein Problem erkannt)

Ausnahme: Telefonie. Die 7530 hat ihre eigene Telefonfunktion. Offensichtlich werden die VOIP-Ports nicht forwarded, sondern selbst abgefriffen, auch wenn die Telefonie gar nicht konfiguriert ist. Dabei zeigt die VOIP-Anlage ueberhaupt keine Auffaelligkeiten, ausser dass eben das Telefon nicht funktioniert (nur eingehende Anrufe getestet).

Kann ich das irgendwie abschalten? Oder koennte ich durch ein spezielles Port forwarding (zusaetzlich zur DMZ-Festlegung) den gleichen Effekt erzielen?

danke

 

[KunterBunter]

alte Fritzbox mit VOIP-Anlage

Natürlich kannst du die jetzt abschalten. Die neue Fritzbox hat doch ihre eigene Telefonfunktion. Richte die Rufnummern einfach dort ein.

 

[jamapii]

Natürlich kannst du die jetzt abschalten. Die neue Fritzbox hat doch ihre eigene Telefonfunktion. Richte die Rufnummern einfach dort ein.

Natuerlich ist das eine sehr schlechte Loesung. Die komplette Konfiguration muss uebertragen werden, es ist unklar ob es ueberhaupt funktioniert, alles muss getestet werden. Besonders beim Faxen ist das immer fraglich.

Edit: Sogar noch schlechter, denn jedes einzelne Endgeraet muss dazu umkonfiguriert werden

 

[NDiIPP]

Kann ich das irgendwie abschalten?

Na klar:
Telefonie > Eigene Rufnummern > Anschlusseinstellungen > Sicherheit > Nutzung von Internettelefonie aus dem Heimnetz unterbinden

Edit:

Natuerlich ist das eine sehr schlechte Loesung.

Finde eigentlich nicht, dass das eine sehr schlechte Lösung ist. Ich finde den Vorschlag von @KunterBunter sogar gut.

 

[Ohrenschmalz]

"Manchmal reicht es nicht aus, stundenlang mit einer Angel am See zu sitzen. Man muss auch mal eine Stange Dynamit ins Wasser werfen."
Die genannte Lösung ist eine sehr gute Lösung. Du wirst alten Krempel los und bist auf aktuellem Stand...

 

[sonyKatze]

Weil Du drei Router erwähnst: Hast Du irgendwo ein Double-NAT? Anders gefragt:

1. Welche Funktion hat dieser „interne NAT-Router“?
2. Läuft die interne FRITZ!Box im Modus IP-Client?

Offensichtlich werden die VoIP-Ports nicht forwarded, sondern selbst abgefriffen, auch wenn die Telefonie gar nicht konfiguriert ist.

Mhm. Das ist nicht normal. Was genau steht auf der Weboberfläche der FRITZ!Box 7530 → fritz.box → Telefonie → Eigene Rufnummern? Wenn dort noch Rufnummern sind, musst Du alle löschen – deaktivieren allein reicht leider nicht. Wenn dort alles leer ist, leiten meine FRITZ!Boxen auch den Port 5060/udp in den Exposed-Host. Bereits eine Rufnummer reicht aus, und die FRITZ!Box greift 5060/udp ab – warum auch immer. Aus meiner Sicht sind das zwei Software-Bugs.

Alternativ umgehen kannst Du das, indem Du nicht SIP-over-UDP sondern SIP-over-TLS nutzt (Port 5061/tcp). Aber das müsste Dein VoIP/SIP-Provider anbieten und Du müsstest auf die nächste FRITZ!OS 07.20 warten.

Alternativer bin auch ich für den Ratschlag die FRITZ!Box ganz vorne für alles zu nutzen; auch wenn das wahnsinnig viel Test-Aufwand bedeutet. Daher die Gegenfrage: Existiert bei Dir noch ein anderer Grund das nicht zu tun? Dann würden wir uns gemeinsam den anschauen.

 

[betaman2]

@jamapii

selbstverständlich solltest Du "Nutzung von Internettelefonie aus dem Heimnetz unterbinden" nicht angewählt haben !
Denn genau das willst Du ja erreichen

 

[KunterBunter]

Genau, er will erreichen, dass die Fritzbox 7530 keine Internettelefonie machen kann, denn er hatte bisher auch einen DSL-Router ohne Telefonfunktion. Dagegen hilft auch kein FETTdruck und kein Plenken !

 

[jocale]

Was heisst "alte Fritzbox mit VOIP-Anlage"? Nutzt die VoIP-Funktion der alten Fritzbox?

Dann Einstellungen sichern mit Passwort und selektiv auf die 7530 übertragen

 

[sonyKatze]

Selektiv würde ich nur im Notfall machen, weil bei selektiv vieles nicht übernommen wird (es existiert kein Haken für „Rest“). Lieber alles drüber bügeln und danach manuell aus dem IP-Client-Modus raus in den DSL-Modus.

 

[betaman2]

@KunterBunter , langsam denke ich, Du schießt zu schnell!
Die 7530 kann Internettelefonie machen, sie soll sie in diesem Falle aber nur durchleiten.
Ich hatte vor einiger Zeit den Speedport Hybrid durch eine 7520 ersetzt, aus genau dem gleichen Grund, wie der TE.
Nachdem ich mich lange abgemüht hatte, weil ich ja die Telefonieeinstellungen der nachgeschalteten 7470 übernehmen wollte, fand ich das Häkchen, dessen Vorhandensein die Internettelefonie aus dem Heimnetz unterbinden soll. Gemeint ist nämlich jedes IP-Gerät (und Internettelefon) aus dem nachgeschalteten Netz (dessen SIP-Pakete ja eigentlich durchkommen sollen).
Das Mißverständnis entstand, weil AVM die aktuelle Box offenbar nicht zum Heimnetz zählt.
Mein Beitrag vom 14.Mai in
Anschluss ip-Telefon an Mesh-Repeater 7490
Pardon, @Kunterbunter,die Schriftart stammt aus der damaligen Überschrift des Forumsbeitrags, sie ist beim Kopieren mitgekommen.
Bei mir hatte es damals sofort funktioniert, ohne Änderung an der 2. Fritzbox (die als nachgeschalteter Router, nach Lubensky.de geschaltet war)

 

[KunterBunter]

der nachgeschalteten 7470

Zu schnell getippt?

 

[betaman2]

... ich lasse den Fehler mal stehen, damit die ernsthaften Mitleser nicht den Faden verlieren.

 

[jamapii]

Weil Du drei Router erwähnst: Hast Du irgendwo ein Double-NAT? Anders gefragt:

1. Welche Funktion hat dieser „interne NAT-Router“?
2. Läuft die interne FRITZ!Box im IP-Client-Modus?

Mhm. Das ist nicht normal. Was genau steht auf der Weboberfläche der FRITZ!Box 7530 → fritz.box → Telefonie → Eigene Rufnummern? Wenn dort noch Rufnummern sind, musst Du alle löschen – deaktivieren allein reicht leider nicht. Wenn dort alles leer ist, leiten meine FRITZ!Boxen auch den Port 5060/udp in den Exposed-Host. Bereits eine Rufnummer reicht aus, und die FRITZ!Box greift 5060/udp ab – warum auch immer. Aus meiner Sicht sind das zwei Software-Bugs.

Vielen Dank an sonyKatze und betaman2 fuer die ernsthaften Antworten. Ja, die Kategorie "Eigene Rufnummern" ist leer. Und "Nutzung von Internettelefonie aus dem Heimnetz unterbinden" ist aus. Wenn es so ist, wie Du sagst, sollte man meinen, dass alles funktioniert. Tut es aber nicht. Ich vermute folgende moeglichen Gruende:

1. Meine Fritzbox funktioniert in diesem Punkt anders
2. Der aktuelle Firmwarestand funktioniert in diesem Punkt anders
3. [Neue Info] Ich glaube, der alte Edge-Router hatte ein SIP-ALG, und die alte Konfiguration hat nur deswegen funktioniert.

Ich denke, die Moeglichkeit 3. werde ich weiter verfolgen...

Noch Hintergrundinfos, weil gefragt wurde:
- Der "interne NAT-Router" trennt das Netz weiter auf in 2 "Gast"-Netze und 1 gesichertes Netz. Ausserdem VPN und anderes. Sinn ist auch, dass ich den providerseitigen Router tauschen kann, ohne mit grossem Aufwand alles neu zu konfigurieren. Und dass ich ein "gesichertes" Subnetz haben kann (durch packet filtering/firewall), auch bei Anwesenheit unsicherer Geraete.
- Meine Bezeichnung "NAT-Router" ist wohl auch nicht ganz passend. Er macht eigentlich nur so viel SNAT wie noetig, d.h. in der Regel keines. Er macht aber DNAT, das laeuft auf "double port forwarding" hinaus, weil das fuer den alten Provider-Router noetig war (Fuer den neuen vielleicht nicht). Das war mir bisher relativ egal, weil ich dachte "Es hat vorher funktioniert, es sollte auf einfache Weise auch nachher funktionieren"
- Meine internen Fritzboxen laufen alle im IP-Client-Modus. (Kein Tripel-NAT)
- Die ganz oben genannte "alte Fritzbox mit VOIP-Anlage"/"TK-Anlage" dient als ... VOIP-PBX ... fuer die anderen Fritzboxen und Voip-Clients.

Wenn es noch weitere Infos zum Thema gibt, gerne. Ich werde ausprobieren, was mir noch einfaellt, und dann hier berichten ... (Wird einige Tage dauern)

 

[sonyKatze]

meine Fritzbox funktioniert in diesem Punkt anders

Mhm. Wir dürften das selbe FRITZ!OS haben. Wäre dann ein heftiger Software/Hardware-Bug. Du musst die FRITZ!Box danach aber neu starten. Wenn alles schief geht, lege auch mal kurz zusätzlich zum Exposed-Host eine Port-Weiterlitung auf Port 5060 an. Wenn immer noch nix geht, kannst Du auf der FRITZ!Box 7530 den Datenverkehr mitschneiden, also vor (Internet) und nach der FRITZ!Box (Heimnetz). Du startest einen Anruf, speicherst das Ergebnis und filterst in Wireshark nach „sip.CSeq.method == INVITE“.

 

[avm_7170]

um Fehler auszuschließen ...solltest du erst mal die Fritzbox klassisch die Telefonie einrichten ....
Dann schließt du ein Telefon an ...und testet ob alles funktioniert, wenn ja ... dann gehst du zu nächsten Schritt

Du konfigurierst die Telefonanlagen als IP- Telefon ...und schließt diese an die FB an ...testen ... wenn alles o.k dann nächster Schritt ...

du konfigurierst die Telefonanlage so das diese direkt an deinem Telefonprovider angeschlossen ist ...ergo mit allen Daten und Telefonnummer und Passwörtern ...und so kannst du den Fehler langsam einkreisen ...

 

[KunterBunter]

Du konfigurierst die Telefonanlagen als IP- Telefon ...und schließt diese an die FB an

Die ganz oben genannte "alte Fritzbox mit VOIP-Anlage"/"TK-Anlage" dient als ... VOIP-PBX ... fuer die anderen Fritzboxen und Voip-Clients.

Übersetzt heißt das: Du konfigurierst also deine alten Fritzboxen als IP-Telefon und schließt diese an die Fritxbox an.

 

[sonyKatze]

DMZ

Mir fällt gerade auf, weil Du von DMZ sprichst, wo/wie legst Du den Exposed-Host an? AVM nutzt als Terminologie nämlich überall sauber Exposed-Host: fritz.box → Internet → Freigaben → (Reiter Portfreigaben) interne FRITZ!Box (Taste Bearbeiten) → Dieses Gerät komplett für den Internetzugriff über IPv4 (und IPv6) freigeben. Wenn die interne FRITZ!Box in einem weiteren Subnetz liegt, dann wird das bitter, weil Du ein Double-NAT hast. In dem Fall müssten wir schauen, wie STUN eingerichtet ist und wer Dein SIP-Provider ist.

Nebenbei (sorry, die Kerbe muss ich voll ausschöpfen): Auch wenn ich hier genau Dein Szenario fahre, ich würde nie und nimmer einen Router für Privatkunden als Exposed-Host einrichten. Diese Teile haben nie ein Pen-Test durchlaufen und aufgrund der schieren Masse an Implementierungen wird auch kein Red-Team drüber geschaut haben. Und die wenigsten Router erkennen, dass sie in Deinem Szenario „außen“ sind. Diese Idee „ich bin so für ein Geräte-Wechsel gerüstet“ bezieht sich daher allein auf die Konfiguration aber nicht auf die Sicherheit. Sich gegen einen Angriff von Innen zu schützen, ist lobenswert. Aber bitte dabei nicht die Angriffe von Außen wieder aufmachen.

 

[jamapii]

OK, vielen Dank fuer die Infos.

Die urspruengliche Frage ist geloest - es funktioniert ploetzlich, ohne Aenderung, wie gewuenscht. In der Fritz 7530 sind keine Rufnummern eingerichtet, "Nutzung von Internettelefonie aus dem Heimnetz unterbinden" nicht angewählt

Ich wollte nur mal den Traffic beobachten, und dabei hat ein Testanruf funktioniert wie er sollte. Was 2 Tage vorher nicht funktioniert hatte.

Moegliche Gruende fuer das Verhalten:
- Vielleicht haette ich die "TK-Anlage-Fritzbox" booten muessen.
- Vielleicht haette ich am „internen NAT-Router“ den NAT-Status resetten muessen.
- Ich habe "Nutzung von Internettelefonie aus dem Heimnetz unterbinden" 1x ein und ausgeschaltet. Glaube aber nicht, dass es daran liegt.

Noch Hintergrundinfos:
ja, die "TK-Anlage-Fritzbox" liegt in einem separaten Subnetz, und da ist tatsaechlich Double-NAT konfiguriert. Das liegt wahrscheinlich daran, dass es so mit dem alten Edge-Router funktioniert hat.

Ja, "DMZ" habe ich als alias fuer "Exposed Host" benutzt.

Der „interne NAT-Router“ ist einfach eine sehr alte Linux-Box, ein Single Board Computer aus der Zeit vor Raspi & Co. Die hat natuerlich auch keine professionellen Pen-Tests oder Red-Teams gesehen... Die war ganz am Anfang sogar selbst Edge Router, mit DSL Modem davor.

 

[eisbaerin]

Ja, "DMZ" habe ich als alias fuer "Exposed Host" benutzt.

Jo, das ist ja auch absolut nahe liegend und einleuchtend.