Paketfilter-Problem VoIP->Festnetz

[Loc2262]

Hallo zusammen!

Ich teste seit heute VoIP und habe folgendes Problem. Erstmal zu meinem Setup:

Ich habe einen T-DSL Anschluß und verwende einen Monowall-Softwarerouter. Dahinter habe ich einen PC mit X-Lite als Softphone.

Ich bin bei GMX angemeldet ohne Flatrate und habe eine meiner Festnetznummer freigeschaltet.

Die Konfiguration in X-Lite habe ich IMO korrekt vorgenommen - sip.gmx.net als Domain und stun.gmx.net als STUN-Server. (Habe sowohl aktiviertes wie auch deaktiviertes ICE probiert, und auch mal eine Range bei "Port used on local computer" angegeben und diese in Monowall geforwardet - keine Änderung am Fehlerbild.)

Wenn ich jetzt von X-Lite aus abgehend eine andere Festnetznummer von mir anwähle, kommt der Anruf nur in ca. 50% der Fälle zustande. Im Erfolgsfall klappt alles, wie es soll. Im Fehlerfall klingelt das Telefon, aber ich höre kein Freizeichen in X-Lite. Nehme ich das Telefon ab, kommt kein Gespräch zustande.

Zur Netzwerkseite: mit einem lokalen Verbindungsmonitor checke ich, welche Connections mein LAN-PC hat. Nach Start von X-Lite sehe ich Verbindungen von meinem LAN-PC zu sip0.schlund.de:5060 und stun.schlund.de:3478.

Führe ich eine Anwahl durch, erscheinen zwei weitere UDP-Verbindungen zu stun.gmx.net:3478. Im Erfolgsfall erscheinen kurz danach zwei Verbindung zu tmgw-bonn-de01.voip.telefonica.de, von und zu zufälligen Ports. Falls ich "Port used on local computer" eingestellt habe, sind die abgehenden Portnummern alle aus diesem Bereich.

Im Fehlerfall erscheint keine Verbindung zu telefonica.de, und im Paketfilter-Log der Monowall sehe ich Unmengen an geblockten UDP-Paketen, alle von 62.206.*.* oder 62.53.*.* oder ähnlichen Adressen, an meine UDP-Ports im Bereich 1300-1499 (oder ähnliche, sprich vermutlich Ephemeral-Ports).

Frage, warum klappt es mal und mal nicht, und warum sollen da im Fehlerfall Pakete an Ports um 1300-1400 geschickt werden, die offensichtlich dem Router nicht bekannt sind? Ich habe doch extra eine Portrange eingestellt, und soll nicht STUN dazu dienen, daß es auch durch NAT-Router klappt?

Vielleicht kann mir da ja jemand helfen. Vielen Dank im Voraus!


EDIT: Habe als Gegentest gerade mal eine Fritz!Box Fon in mein LAN gehängt... bei dieser tritt der Fehler nicht auf. Es erscheinen zwar auch dort ein paar geblockte UDP-Pakete (vll. im Zuge der STUN-Aktivitäten?), aber wesentlich weniger (5-10 anstatt hunderte), und das Gespräch kommt jedesmal zustande.


Schönen Gruß,
Frank

 

[frank_m24]

Hallo,

könnte ein Problem mit symmetrischem NAT sein, da ist STUN eher kontraproduktiv. Macht die Monowall symmetrisches NAT?

http://sarwiki.informatik.hu-berlin.de/NAT_Traversal

Versuche es statt dessen mal ohne STUN Server und dafür mit Portweiterleitungen.

Eventuell aber auch ein ALG Problem. Hat die Monowall sowas wie SIP ALG? Dann deaktiviere es mal.

Viele Grüße

Frank

 

[Loc2262]

Hallo frank_m24!

Danke daß Du mir helfen möchtest. Freut doch immer wieder, in Foren auf hilfsbereite Leute zu treffen!

könnte ein Problem mit symmetrischem NAT sein, da ist STUN eher kontraproduktiv. Macht die Monowall symmetrisches NAT?

Uh, das ist eine gute Frage. Ich habe mir gerade die vier beschriebenen NAT-Typen auf der Webseite mal angesehen, und ich tippe da am ehesten auf Symmetric NAT in der Monowall. Auf jeden Fall keiner von diesen Cone-Typen, der von allen möglichen Hosts Antworten zuläßt.

Allerdings hatte ich auch mal einen Test gemacht, bei dem ich eine Option "do not translate source port numbers" gesetzt hatte. Dabei behält die Monowall dann wohl die originale Portnummer des LAN-Hosts bei. Hat aber am Fehlerbild nichts geändert. Was man aber wohl so erwarten kann, denn am NAT-Verhalten im Sinne von Symmetric/Cone/etc. ändert die Port-Translation ja nichts?

Versuche es statt dessen mal ohne STUN Server und dafür mit Portweiterleitungen.

Ja, das würde ich gerne mal probieren, aber scheinbar kann man in X-Lite STUN gar nicht abschalten? Auf der betreffenden Configseite kann ich nur zwischen "auto-discover STUN server" und "use this STUN server:" aussuchen. Oder gibts da versteckte Expert-Options? Oder bin ich blind?

Eventuell aber auch ein ALG Problem. Hat die Monowall sowas wie SIP ALG? Dann deaktiviere es mal.

Mußte gerade erstmal nachschauen, was ALG bedeutet. Aber ich bin ziemlich sicher, daß die Monowall sowas nicht hat. Das ist eine sehr kleine Router-Distro, das CF-Karten-Image ist um die 7 MB groß.


Danke und Gruß,
FRANK

 

[Loc2262]

Okay ich habe mal das STUN-Debuglog von X-Lite aktiviert und angeschaut. Die Monowall scheint doch nicht ganz so "böse" zu sein.


Time | Type | Subsystem | Message | Function
[06-08-10]22:35:55.795 | Info (more) STUN | "STUN: Requested FW Type discovery using STUN server: 217.72.200.80:3478" | sua::CFirewallTypeDiscovery::CFirewallTypeDiscovery
[...]
[06-08-10]22:35:59.673 | Info (more) STUN | "STUN: OK FW Type discovery: PortRestricted" | sua::CFirewallTypeDiscovery::CompleteAsSuccess
[06-08-10]22:35:59.742 | Info (more) STUN | "STUN: OK FW Type discovery: PortRestricted" | sua::CFirewallTypeDiscovery::CompleteAsSuccess


Also ein Port-Restricted NAT. Da sollte STUN ja eigentlich gut helfen. Tut es weitgehend ja auch, bis auf die Sache mit X-Lite und den Festnetz-Anwahlen. Ich werde mal weiter Logs durchforsten, falls Du noch eine Idee hast, bin ich ganz Ohr!

Schönen Gruß,
Frank