VOIP durch IPSec-Tunnel / Keine Sprache?

[ypsilon_91]

Servus ihr Lieben.
Vielleicht findet sich hier ja der ein oder andere Crack, der mir helfen kann mein Problem zu lösen. Ich habe hier folgendes Problem:

Ich habe mehrere Standorte:
Hauptstandort:

Router mit statischer externer IP (82.193.....)
Internes Netzwerk: 172.16.0.0/16
Askozia (Asterisk PBX)

RemoteStandort:

Router (AVM Fritzbox) mit dynamischer IP bzw. DYNDNS
IP: 192.168.4.0/24
Die Fritzbox ist in der Haupttelefonanlage (Askozia) als SIP-Client eingebunden, sodass die DECT-Telefon dahinter angesprochen werden können.

Ursprünglich wurde in der Firewall des Hauptstandortes, ein NAT in den IP-Sec Tunneln (es gibt noch mehr Standorte, diese sind aber ebenso betroffen und sind alle sehr ähnlich aufgebaut) gemacht. (Warum auch immer) Doch daraus ergaben sich permantente Störungen in der VOIP-Leitung. Verständlich.

Nach dem das NAT aus in den Tunneln entfernt wurde sind die Tunnel und die Verbindung an sich "rock stable", dafür geht aber keine Voice mehr durch die Leitung. Wenn man vom Hauptstandort zu einem Remotestandort telefoniert wird die Verbindung aufgebaut und man sieht im Router auch den gesamten Daten-Ablauf. Die Verbindung bleibt auch aktiv, nur hört man sich nicht.
Wenn der Anruf von einem Remotestandort zum Hauptstandort aufgebaut wird, wird die Verbindung nach wenigen Sekunden abgebrochen.
Im Router findet man den Aufbau des SIP-Protokolls (Port 5060) (und das Telefon im Hauptstandort Klingelt auch), nur nach Abnahme, hat man a) keinen Ton und b) wird die Leitung nach wenigen Sekunden auch direkt gekappt.

Nun meine Frage(n):
Warum kommen vom Remotestandort zum Hauptstandort keine RTP Pakete an? (Die Firewall blockt nichts, eine Regel erlaubt die Pakete)
Warum funktionierte es vorher (wenn auch unter Störungen) als das NAT eingeschaltet war?
Habe ich irgendwo einen Denkfehler? (Mit Sicherheit, aber ich finde ihn nicht)

Hoffentlich kann mir jemand weiterhelfen! Solltet ihr Informationen brauchen, die ich vergessen habe mitzuteilen, bitte lasst es mich wissen!

Viele Grüße
ypsilon

 

[KunterBunter]

Router mit statischer externer IP
IP: 172.16.0.0/16

Das ist ein Netzwerk für den privaten Gebrauch. Insofern kann es sich nicht um eine gültige statische externe IP-Adresse handeln.

 

[ypsilon_91]

Entschuldigung. Ich dachte, das sei verständlich genug.

Der Router hat eine statische externe IP.
Das interne Netzwerk hat die 172.16.0.0/16
D.h. Es gibt ein NAT zwischen intern und extern. Aber eben nicht zwischen den IPSEC Tunneln.

Viele Grüße!

- - - Aktualisiert - - -

Ich hab es direkt mal im Post geändert!

 

[PeterPawn]

Suche mal bitte noch eine die VPN-Konfiguration aus der FRITZ!Box heraus (aus den Support-Daten oder einer Sicherungsdatei) und stelle die hier ein, dazu auch den passenden Ausschnitt aus der voip.cfg mit der Definition der (externen) Nummer (also ja wohl derjenigen, mit der sich die FRITZ!Box bei der TK-Anlage registriert) - auch die Routing-Tabelle der FRITZ!Box (alles in den Support-Daten zu finden) wäre interessant.

Ich würde hier auf ein Routing-Problem (bzw. eher ein ACL-Problem für die Selektion der Pakete für den Tunnel) tippen ... die SIP-Signalisierung läuft ja immer zwischen der TK und der FRITZ!Box direkt ab und funktioniert hier ja auch, aber wenn die RTP-Pakete direkt von der einen FRITZ!Box zur anderen gelangen sollen (ich nehme mal der Einfachheit halber an, daß ein Anruf von FRITZ!Box A (bzw. einem Telefon dort) zu einem Teilnehmer hinter FRITZ!Box B erfolgen soll) und nicht über den zentralen Router als Relay mit NAT gesendet werden, dann muß jede FRITZ!Box ja "wissen", daß die betreffenden Pakete auch über die VPN-Verbindung gesendet werden sollen, wobei dann deren Zieladresse eben nicht mit der "Zentrale" übereinstimmt.