Fritzbox mit statischer öffentlicher IP hinter NAT?

[Yossarian]

Hallo zusammen,

ich möchte eine Fritzbox als NAT-Router mit SIP-Unterstützung an eine bestehende Internetverbindung in einem Netzwerk anbinden, war in meinem speziellen Fall bislang allerdings leider noch nicht erfolgreich damit. Vielleicht kann mir jedoch hier jemand behilflich sein.

Jeder Teilnehmer des erwähnten Netzwerks bekommt genau eine statische öffentliche und eine statische private IP zugeteilt. Der gesamte Internetverkehr des Netzwerks wird offenbar über 3 Standleitungen abgewickelt. Der Datenverkehr wird meinen Informationen nach anhand des Zielports gewählt. Die SIP-Pakete sollten daher eigentlich immer über die Standleitung gehen, über die auch die öffentliche IP jedes Benutzers von außerhalb erreicht werden kann.

Wenn ich die Fritzbox an dieses Netzwerk anschließe so erhält sie per DHCP die private IP-Adresse 192.168.0.4 und kann von den angeschlossenen Rechnern zum Surfen benutzt werden. Als Gateway wird per DHCP die Adresse 192.168.0.1 angegeben, die in einem traceroute nach außen nach der Fritzbox der erste Eintrag in der Liste ist.
Die Fritzbox selber kann sich auch scheinbar beim SIP-Anbieter einloggen. Im Kundenmenü des Anbieters wird die Box dann nämlich als "online" geführt. Die Box wird dort allerdings unter der IP 121.131.141.151 geführt obwohl ihre zugewiesene öffentliche Adresse eigentlich 121.131.141.160 sein sollte. Ein traceroute von außerhalb auf 121.131.141.160 führt hingegen unmittelbar vor der Zieladresse immer über 121.131.141.151. Für mich schaut das so aus als wenn das gateway ein NAT-Router ist, der Pakete an die öffentliche IP 1:1 an die entsprechende interne Adresse durchreicht, ausgehende Pakete allerdings über die Adresse des Gateways abwickelt.

Anbei eine grobe Skizze des Netzwerks so wie ich es bislang verstanden habe.

Mit der Fritzbox selber funktionieren in dieser Konstellation weder ein- noch ausgehende Gespräche.

Die Fritzbox, die ich bislang getestet habe, ist eine Fritzbox Fon 5010 sofern das von Interesse ist.

Falls es ebenfalls irgendwen interessiert: Der DynDNS-Client, der auf der Fritzbox noch aktiv war, registriert sich beim Anbieter unter 192.168.0.4.

DER SIP-Anbieter bietet kein STUN an.

Woran scheitern die Telefongespräche und was kann ich ggf. versuchen damit es doch noch klappt? Am Netzwerk jenseits der Fritzbox kann ich höchstwahrscheinlich leider nichts ausrichten, d.h. Änderungen kann ich nur an der Fritzbox und nachgeschalteten geräten vornehmen.

Von der Fritzbox 5140 weiß ich, dass es in der voip.cfg eine Position "localip = 0.0.0.0" gibt, die die voip.cfg der 5010 scheinbar noch nicht kennt. Würde es etwas bringen mal eine 5140 auszuprobieren und in dem Eintrag die öffentliche IP fest zu verdrahten?

Bitte entschuldigt diese leicht konfuse Darstellung aber deutlicher kann ich es momentan leider nicht ausdrücken.

Wenn noch etwas fehlt bitte einfach fragen.

Ich bin für jeden sachdienlichen Hinweis dankbar!

 

[gandalf94305]

Also zunächst mal: egal, welche IP-Adresse die Endgeräte hinter der FBF bekommen - wenn diese ein NAT-Router ist, sind das immer nach draußen Pakete von der WAN-IP-Adresse der FBF - niemals von irgendeiner LAN-Adresse.

Was Du benötigst, ist Multi-NAT, d.h. NAT mit zwei oder mehr externen IP-Adressen. Standardmäßig auf keinen Fall, aber per Modifikation könnte eine FBF dies unterstützen.

Für die Funktionsweise von VoIP wäre ein STUN-Server wahrscheinlich erforderlich. Hierzu kann man einen beliebigen STUN-Server verwenden. Das muss i.d.R. nicht derjenige des VoIP-Anbieters sein. Ob oder ob nicht, hängt jedoch vom Gateway nach draußen, d.h. dem System mit der ersten öffentlichen IP-Adresse auf einem Pfad ins Internet ab.

--gandalf.

 

[Yossarian]

Also zunächst mal: egal, welche IP-Adresse die Endgeräte hinter der FBF bekommen - wenn diese ein NAT-Router ist, sind das immer nach draußen Pakete von der WAN-IP-Adresse der FBF - niemals von irgendeiner LAN-Adresse.

Jo, schon klar, aber darum geht es ja auch nicht.

Was Du benötigst, ist Multi-NAT, d.h. NAT mit zwei oder mehr externen IP-Adressen. Standardmäßig auf keinen Fall, aber per Modifikation könnte eine FBF dies unterstützen.

Das Gateway leitet alle auf die öffentliche IP eines Nutzers eingehenden Pakete an deren interne IP weiter. Die angeschlossenen Geräte wissen also erstmal nicht welche öffentliche IP sie haben und haben auch keine Möglichkeit diese selber herauszufinden sofern man selber nicht nachhilft.
Im Falle von Multi-NAT frage ich mich allerdings was das Gateway dazu sagt, wenn es aus dem internen Netz Pakete mit einer eigentlich nur extern verwendeten IP erhält. Ich vermute mal das Gateway weiß dann nichts mit den Paketen anzufangen und verwirft die einfach...
Besteht nicht einfach irgendwie die Möglichkeit bei der Anmeldung am SIP-Anbieter gezielt die öffentliche IP anzugeben auch wenn diese von der des Gateways abweicht? Damit dürften dann ja wohl zumindest eingehende Gespräche funktionieren. Die Pakete für ausgehende Gespräche hätten dann aber weiterhin die "falsche" IP des Gateways...

Für die Funktionsweise von VoIP wäre ein STUN-Server wahrscheinlich erforderlich. Hierzu kann man einen beliebigen STUN-Server verwenden. Das muss i.d.R. nicht derjenige des VoIP-Anbieters sein. Ob oder ob nicht, hängt jedoch vom Gateway nach draußen, d.h. dem System mit der ersten öffentlichen IP-Adresse auf einem Pfad ins Internet ab.

So wie ich das sehe würde auch ein STUN-Server nur die öffentliche IP des Gateways zurückliefern, die ja bereits dem Anbieter bekannt ist - wie soll der auch die öffentliche IP des einzelnen Nutzers herausfinden ...

 

[gandalf94305]

Ein System im LAN wird nicht eine öffentliche IP-Adresse nutzen können. Diese "entsteht" erst beim Übergang durch den NAT-Router. Bei Multi-NAT hat der Router nicht nur eine, sondern zwei oder mehrere öffentliche IP-Adressen zur Auswahl. Welche genutzt wird, hängt von der Konfiguration ab. Diese kann (je nach Router) z.B. auch verschiedene Protokolle über verschiedene öffentliche IP-Adressen routen. So sollten VoIP und STUN über die gleiche öffentliche IP-Adresse laufen, d.h. der Router wird seine Sache dann schon richtig machen, daß STUN die korrekte der beiden Adressen liefert.

--gandalf.