[Problem] Zwei Fritzboxen per VPN (LAN<->LAN Kopplung) verbunden - VoIP Problem

[Brand]

Hallo zusammen,

ich habe folgendes Problem:
Die Fritzbox in meinem Büro (6591 - Vodafone Kabel 500Mbit 192.168.1.0) habe ich per LAN-LAN-Kopplung mit meiner Box im HomeOffice (7590 - Vodafone DSL 100MBit 192.168.0.0) verbunden.
Netzwerkfreigaben funktionieren perfekt vom HomeOffice ins Büro! Ich kann auch alle Geräte hin- und herpingen!

Nun zum Problem:
Wir haben die Telefonie nun von ISDN im Büro auf IP umgestellt und Yealink Telefone (mit der Fritzbox als "Telefonanlage) angeschafft. Im Büro passt auch alles super. Das Problem ist, möchte ich zu Hause (dort sind 4 DECT Telefonone in der 7590 angemeldet und telefonieren problemlos über den lokalen DSL-IP-Anschluss) ein IP-Telefon aufstellen und über die FritzBox im Büro telefonieren klappt das nicht. Rauswählen kann ich - die Gesprächspartner hören sich aber nicht. Ein eingehender Anrunf wird auch nicht signalisiert. Das Konto der Fritzbox 6591 kann ich problemlos im Yealink (oder auch in einem Softphone-Client) anlegen und es wird auch "grün".

Irgendwie stimmt da etwas mit dem Routing der beiden Boxen nicht... - ich habe aber keinen Plan, wie ich da vorgehen kann!

Viele Grüße
Thomas

[Edit Novize: Beiträge zusammen gefasst - siehe Forumsregeln]

Hallo nochmal,

ich habe es gerade andersrum probiert, d.h. im SIP-Telefon im Büro den FritzBox-SIP-Account von meinem "Heim-DSL-Vodafone 100 MBit" eingetragen. Das klappt wunderbar - rauswählen, beide Gesprächspartner hören sich und der Ruf' wird auch signalisiert!

Es scheint irgendwie davon abzuhängen, welche Fritzbox die VPN-Verbindung initiert. Es geht wohl genau in die Richtung, wo die Fritzbox steht, die den VPN aufbaut.

 

[sonyKatze]

Pakete mitschneiden … Können wir das anders angehen:

1. Welchen VoIP/SIP-Anbieter nutzt Du? Vielleicht erlaubt der Nebenstellen oder Mehrmach-Einwahl. Dann könntest Du die FRITZ!Box daheim direkt einbuchen. Und dann das VoIP/SIP-Telefon als IP-Telefon einbuchen (bis Punkt 5).
2. Anstatt über VPN könntest Du die FRITZ!Box daheim auch als IP-Telefon im Büro einbuchen (bis Punkt 6). Und dann das VoIP/SIP-Telefon als IP-Telefon in der FRITZ!Box daheim einbuchen (bis Punkt 5).
3. Anstatt direkt über SIP könntest Du auch eine Anrufweiterschaltung nutzen. Bei vielen Festnetz-Anschlüssen sind die kostenlos dabei.

 

[Brand]

Hmmm.

zu 1. Zu Hause ist das Vodafone über DSL (10 Nummern) und im Büro Vodafone über Kabel (10 Nummern)...
zu 2. Das hat geklappt! Auch über VPN - einfach die Büronummer in der Box zu Hause mit IP-Client Daten der Box im Büro angelegt und dann die Nummer sowohl eingehend also auch ausgehend eingetragen. So konnte ich telefonieren! Eingehende Anrufe teste ich noch... - kleiner Wermutstropfen: so tauchen alle geschäftlichen Anrufe in der privaten Fritzbox auf.
zu 3. So habe ich das jetzt Jahre gemacht. Nun wollte ich zu Hause aber auch sehen, wer anruft und von dort auch mit der Büronr. raustelefonieren!

Ich dachte halt, dass ich einfach ein IP-Telefon zu Hause (oder auch einen Soft-IP-Client, z.B. Jitsi, der läuft im Büro direkt vor Ort ohne Probleme mit der "dort stehenden" Fritzbox) mit den (SIP-)Daten ein LAN-/WLAN-Client der Büro-Fritzbox bestücke und gut ist, so dass sich der Client zu Hause wie eine Nebenstelle im Büro verhält...

Pakete mitschneiden hört sich interessant, allerdings auch kompliziert an.

Irgendwo habe ich mal von einem ähnlichen Problem gelesen, bei einem VPN-Traffic-Problem zwischen zwei Fritzboxen, die haben irgendwie geschrieben, man soll statische Routen setzen - unter Heimnetz -> Netzwerk -> Netzwerkeinstellungen gibt es das den Punkt IPv4-Routen...

 

[sonyKatze]

VoIP/SIP über Netz-Segmente hinweg, ist immer heikel. Oftmals hast Du wildes Routing oder eine Firewall dazwischen. Und Du weißt nie, ob die Tisch-Telefone sauber arbeiten. Mit IPv6 wird dann alles noch fehleranfälliger. Da muss man sich hinsetzen, mitschneiden und schauen. Ganz schwer sowas über ein öffentliches Forum zu machen. Ganz schwer irgendwelche grundlegenden Tipps zu geben. Es könnte wirklich alles Unmögliche sein.

zu Hause aber auch sehen, wer anruft und von dort auch mit der Büronr. raustelefonieren!

Das geht auch, jedenfalls wenn Du „richtig“ umleitest. Wir hätten schauen müssen, was da schief ging.

von dort auch mit der Büronr. raustelefonieren

Auch das wäre gegangen. Viele VoIP/SIP-Anbieter wie dus.net erlauben Dir eine Rufnummer zu verheiraten. Dann erscheinst Du weltweit unter dieser Rufnummern.

 

[Brand]

OK!

Sobald die VPN Verbindung in beiden Boxen deaktiviert ist, kann ich problemlos externe SIP-Geräte (als normale Nebenstelle) über das Internet anbinden und auch benutzen.

 

[sonyKatze]

Müsste auch gehen, wenn parallel das VPN läuft. Wollen wir uns das mit Paket-Mitschnitten zusammen anschauen? Oder reicht Dir das bereits und das Problem ist gelöst?

 

[Ossie]

Hallo,

merkwürdig - bei mir hat das ohne Probleme geklappt.

1) LAN-LAN-Kopplung zwischen zwei Fritzboxen (Büro<->zuhause). Voraussetzung: Die beiden Fritzboxen haben unterschiedliche IP-Nummernkreise
2) DECT-Telefon an einer N510 angemeldet, die N510 registriert sich an der Fritzbox im Büro
3) LAN-Telefon in der Büro-Box eingerichtet.
4) Fertig.

Ich konnte mit dem DECT-Mobilteil zuhause über die Bürobox raustelefonieren, es erscheint beim Angerufenen (wie gewünscht) die Büronummer.
Man konnte intern miteinander telefonieren (**6XX).

Gruß Ossie

 

[Brand]

Hallo Ossie,

genauso war das auch mein Plan! Leider hat das so einfach nicht geklappt. Vielleicht hat das was mit den unterschiedlichen Standards zu tun: zu Hause Vodafone DSL 100 MBit IP-Anschluss Fritzbox 7590 Firmware 7.21 - im Büro Vodafone Kabel 500 MBit IP-Anschluss Fritzbox 6591 Firmware 7.13.
Ich werde jetzt noch mal versuchen, die VPN-Verbindung LAN-LAN vom andernen Anschluss her zu initiieren.

@sonyKatze: Gerne würde ich mal anhand von Paket-Mitschnitten schauen, was da los ist! Wireshark?!

Grüße!

 

[Brand]

Hallo!

Hier mal ein WireShark - Auszug beim Start von Jitsi auf dem HomeOffice-PC:

24771    146.415186    192.168.0.5    192.168.1.1    SIP/XML    1261    Request: PUBLISH sip:[email protected] |
24772    146.427561    192.168.1.1    192.168.0.5    SIP    490    Status: 401 Unauthorized |
24773    146.428365    192.168.0.5    192.168.1.1    SIP/XML    1261    Request: PUBLISH sip:[email protected] |
24774    146.433830    192.168.1.1    192.168.0.5    SIP    434    Status: 412 Conditional Request Failed |

192.168.0.5 ist der HomeOffice-PC und 192.168.1.1 die FRITZ!Box 6591 im Büro, über die ich gerne telefonieren würde.

Und das sind die Daten von internen Anruf auf dem AB **600:

734    14.628453    192.168.0.5    [öffentliche IP der Fritzbox im Büro?!]    RTP    214    PT=ITU-T G.711 PCMU, SSRC=0x2861CD82, Seq=62223, Time=160
735    14.672134    192.168.0.5    [öffentliche IP der Fritzbox im Büro?!]    RTP    214    PT=ITU-T G.711 PCMU, SSRC=0x2861CD82, Seq=62224, Time=320
736    14.766148    192.168.0.5    [öffentliche IP der Fritzbox im Büro?!]    RTP    214    PT=ITU-T G.711 PCMU, SSRC=0x2861CD82, Seq=62225, Time=480
737    14.797430    192.168.0.5    [öffentliche IP der Fritzbox im Büro?!]    RTP    214    PT=ITU-T G.711 PCMU, SSRC=0x2861CD82, Seq=62226, Time=640

Seltsamerweise steht da nicht die interne IP der FritzBox, sondern die öffentlich IP des Internet-Anschlusses im Büro.

 

[KunterBunter]

kann ich problemlos externe SIP-Geräte (als normale Nebenstelle) über das Internet anbinden

Was für externe SIP-Geräte sind denn damit gemeint?

 

[Brand]

Mittlerweile bin ich mir nicht sicher, ob das noch geht...

Aber das waren zwei Softphone-Clients auf dem iPhone, die ich ausprobiert habe:
1. Softphone - Sessiontalk iPhone Edition 6.55
und
2. Linphone 4.3.2

Das Problem ist bei den iPhone-Apps irgendwie immer, dass die bei einem eingehenden Anruf nicht reagieren, wenn Sie nicht geöffnet sind - aber das ist ja ein anderes Thema...

Nachtrag:
Habe gerade den VPN-Haken an beiden FRITZ!Boxen mal entfernt und mit den Softphone-Clients auf dem iPhone ohne WLAN getestet - wählt an und verbindet, man hört aber NICHTS. Also exakt das gleiche Verhalten wie mit VPN und Jitsi...

Ich hatte auch mal das Yealink T54W vom Büro mit nach Hause geschleppt - exakt GLEICHES Verhalten!

[Edit Novize: Beiträge zusammen gefasst - siehe Forumsregeln]

Was mir bei Jitsi noch auffiel:

Im Büro (direkt im Netzwerk der 6591 - ohne VPN:

Unter Bandbreite eingebend stehen wechselnde Kbps und man sieht einen Ausschlag beim Kopfhörer.

Im HomeOffice (über VPN):

Unter Bandbreite eingebend steht dauerhaft 0 Kbps und man sieht KEINEN Ausschlag beim Kopfhörer.

UND: Seltsamerweise steht hier bei der Gegenstelle auch die öffentliche IP des Büro-Anschlusses (ausradiert) und nicht die interne 192.168.1.1, wie im Büro - sollte doch üebr VPN intern auflösbar sein.

 

[PeterPawn]

sollte doch üebr VPN intern auflösbar sein.

Da wird gar nichts erst "aufgelöst" - die SDP-Daten in einem entsprechenden SIP-Paket enthalten keine Namen oder ähnliches, sondern direkt IP-Adressen ("net-type" ist üblicherweise "IN" und als "addr-type" werden auch nur "IP4" und "IP6" verwendet -> https://tools.ietf.org/html/rfc4566#section-5.7).

Wenn da also als Gegenstelle eine öffentliche IP-Adresse im Log (oder im Mitschnitt) steht, dann stand die so auch in dem entsprechenden "c="-Attribut (connection) in den SDP-Daten und solche Einträge dann entsprechend (im Body eines SIP-Requests oder einer SIP-Response) anzupassen, ist Sache des SIP-Proxy oder des Registrars bzw. UA (wenn der gleich die richtige (interne) Adresse einträgt, braucht ein Proxy nichts mehr zu ändern).

Wie genau die SDP-Daten aussehen, sollte man (wenn man schon einen Mitschnitt der Verbindung hat) ja problemlos im passenden SIP-Paket nachlesen können ... das INVITE enthält die SDP-Daten des "Senders" (also desjenigen, der die Verbindung aufbauen will) und eine dazugehörige Bestätigung des Empfängers (des Angerufenen) nach der Gesprächsannahme, enthält die SDP-Daten eben dieses Empfängers.

Dann können sich beide aus den angebotenen Media-Streams (wenn es mehr als einer sein sollte) den passendsten aussuchen und mit richtigen Adresse-/Port-Kombination zur Gegenstelle die RTP-Verbindung aufbauen. Die Adresse kommt aus dem "connection"-Attribut und die Portnummer (unter der gemeinsamen IP-Adresse für alle Media-Streams im Angebot) steht in der entsprechenden "media description" (m=...) - zusammen mit Informationen, in welche Richtung da welche Daten in welchem Format über welchen Port ausgetauscht werden sollen.

 

[sonyKatze]

Was Peter meint, filtere in Wireshark bitte nach „sdp“ Dann klappst Du auf

Session Initiation Protocol
↳ Message Body
↳ Session Protocol Description
↳ Connection Information; das ist in der Rohfassung die Zeile c=

Dort findest Du die Connection-Address.

 

[Brand]

OK, DANKE für die Erläuterung - ich habe ehrlich gesagt nicht viel Erfahrung mit Paket-Mitschnitten.

Werde gleich nochmal einen Mitschnitt machen und melde mich dann wieder!

[Edit Novize: Beiträge zusammen gefasst - siehe Forumsregeln]

Puuh, das ist ganz schön tricky:

Also der Call kommt ja zu stande, das sieht mal hier wohl:

Request: INVITE sip:**[email protected]

Internet Protocol Version 4, Src: 192.168.0.5, Dst: 192.168.1.1
User Datagram Protocol, Src Port: 5060, Dst Port: 5060
Session Initiation Protocol (INVITE)
    Request-Line: INVITE sip:**[email protected] SIP/2.0
    Message Header
    Message Body
        Session Description Protocol
            Session Description Protocol Version (v): 0
            Owner/Creator, Session Id (o): IP-Thomas-HomeOffice-jitsi.org 0 0 IN IP4 192.168.0.5
            Session Name (s): -
            Connection Information (c): IN IP4 192.168.0.5
                Connection Network Type: IN
                Connection Address Type: IP4
                Connection Address: 192.168.0.5
            Time Description, active time (t): 0 0
            Media Description, name and address (m): audio 5000 RTP/AVP 96 97 98 100 102 103 3 104 0 8 9 101
                Media Type: audio
                Media Port: 5000
                Media Protocol: RTP/AVP

Dann kommt das zurück:
Status: 200 OK

Internet Protocol Version 4, Src: 192.168.1.1, Dst: 192.168.0.5
User Datagram Protocol, Src Port: 5060, Dst Port: 5060
Session Initiation Protocol (200)
    Status-Line: SIP/2.0 200 OK
    Message Header
    Message Body
        Session Description Protocol
            Session Description Protocol Version (v): 0
            Owner/Creator, Session Id (o): user 6037316 6037316 IN IP4 [öffentliche IP]
            Session Name (s): -
            Connection Information (c): IN IP4 [öffentliche IP]
                Connection Network Type: IN
                Connection Address Type: IP4
                Connection Address: [öffentliche IP]
            Time Description, active time (t): 0 0
            Media Description, name and address (m): audio 7090 RTP/AVP 0 8 101
            Media Attribute (a): rtpmap:0 PCMU/8000
            Media Attribute (a): rtpmap:8 PCMA/8000
            Media Attribute (a): rtpmap:101 telephone-event/8000
            Media Attribute (a): fmtp:101 0-15
            Media Attribute (a): sendrecv
            Media Attribute (a): rtcp:7091

Und genau über diesen Port 7090 kommt dann nichts zurück...

 

[Novize]

@Brand bitte unterlasse langsam mal diese ständigen "Schiebeposts".
Hast Du Nachträge, bevor jemand anderes in de Zwischenzeit geantwortet hast, dann nutze doch auch Du die Funktion Bearbeiten Deines vorigen Beitrags. So geben es die Forenregeln her, so sollte es auch von allen umgesetzt werden.

Ich habe nun mehrfach hinter Dir her geputzt, und Dir eine Info diesbezüglich geschickt, nun mache es bitte selbst...

 

[sonyKatze]

Mhm. Da darf die öffentliche IP nicht stehen. Jetzt ist die noch trickyere Frage, wieso das Deine FRITZ!Box 6591 Cable mit FRITZ!OS 7.12 so macht, ob das nur mit irgendeiner anderen Einstellung zu tun hat oder ob das ein Software-Bug ist. Hast Du auf dieser FRITZ!Box irgendein DynDNS am Laufen? Mal abschalten. Welche IP-Adressen erhältst Du, wenn Du andersherum anrufst?

 

[Brand]

Hallo!

Ja - DynDNS läuft parallel (theoretisch unnötig). Habe heute mal abgeschalten und neu gestartet, keine Änderung.
Der Anruf andersrum über das Yealink hat bis jetzt funktioniert (habe ein Konto der 7590, mittlerweile Firmware 7.25, darin registriert). Ich versuche es morgen noch mit dem Jitsi-Client, um zu sehen, welche IP dann an der Stelle steht!

Mittlerweile glaube ich echt, dass es an der 6591 mit der Firmware 7.13 liegt. Leider bietet Vodafone da noch kein Update an. Wenn alles nichts hilft, werde ich wohl man eine kaufen müssen.

Edit 08.03.2020:
Andersherum geht alles einwandfrei! Mit dem Yealink und dem Jitsi-Client:

Auch höre ich alles und habe somit auch "normalen Ausschlag" beim Kopfhörer-Pegel:


Ich befürchte echt, dass es an der 7.13 liegt. Auch ohne VPN, direkt über das Internet habe ich mittllerweile das gleiche Verhalten!
Meine nächste Aktion wird sein, die 6591 mal auf Werkseinstellungen zurückzusetzen und zu testen, da ich Rücksprache mit Vodafone gehalten habe und die die 7.21 für Business-Kunden mit statischer IP erst irgendwann Ende April / Anfang Mai (genauer Termin steht noch nicht fest) zur Verfügung stellen. Kunden mit dynamischer heute bekommen sie angeblich genau ab HEUTE!

Schöne Woche!


Update 24.03.2020:

Kleine Erfolgsmeldung:
Ich habe es mittlerweile geschafft mit dem Softphone-Client "Ninja Lite" zu telefonieren! Bei diesem Client gibt es in den Account-Einstellungen unter "Erweitert" die Möglichkeit "PBX hinter NAT / lokale IP" auf "Nein" zu setzen. Standard ist "Ja". Bei der Einstellung "Nein" kann ich problemlos rausrufen und die Kommunikation klappt problemlos! Angerufen werden kann man leider nicht. Hierzu ist noch die Proxy-Einstellung nötig, dass die Box über ohne VPN über das Internet kontaktiert wird. Somit funktioniert dieser Client 1a!

Auch habe ich mich mit dem Problem mal direkt an AVM gewendet, das Ticket ist allerdings noch offen (schon ca. 2 Wochen)...

Vielleicht fällt ja dazu jemandem noch etwas ein!

Grüße!