Einstellungen in der UTM-Firewall für VoIP-Geräte, wenn die UTM zwischen dem VoIP-Server und den VoIP-Clients liegt.
Letzte Anpassung zur Version: 12.6.0
Neu:
- Aktualisierung zum Redesign des Webinterfaces
notemptyDieser Artikel bezieht sich auf eine Resellerpreview
07.2022
11.8
Ausgangslage
Wenn zwischen VoIP-Endgeräten und einem VoIP-Server eine UTM steht, ist es notwendig, eine zusätzliche Paketfilter-Regel anzulegen, die VoIP mit NAT freischaltet.
Der Verbindungsaufbau erfolgt über SIP, das Gerät meldet sich mit seiner lokalen IP am VoIP-Server an. Die Sprachpakete selbst werden dann aber über rtp auf anderen Ports gesendet.
Um nun den VoIP-Client und gleichzeitig die bei Verbindungsaufbau übermittelten rtp-Ports im lokalen Netz von außen - in diesem Fall für den VoIP-Server erreichbar zu machen ist es notwendig eine Paketfilter-Regel dafür anzulegen.
Paketfilter Regel
VoIP ohne SIP Helper
Der vordefinierte Dienst sip (enthalten in der Paketfiltergruppe voip) hat den Protokolltyp sip, welcher die Application Layer Gateway (ALG) Module lädt.
Soll VoIP ohne die sip-Helper und damit ohne ALG durchgeführt werden, muss eine neuer Dienst angelegt werden, der den Port 5060 UDP ohne den Protokolltyp sip verwendet.
Schaltfläche Objekt hinzufügen
Dienst anlegen
Beschriftung |
Wert |
Beschreibung
|
Neuer Dienst
|
Name: |
udp 5060 ohne Typ |
Aussagekräftiger Name
|
Protokoll: |
udp |
|
Protokolltyp: |
|
Frei lassen!
|
Zielport Typ: |
Einzelner PortPort-Bereich |
Nur ein Port wird benötigt
|
Zielport: |
5060 |
Zielport für sip über udp ist 5060
|
Quellport Typ: |
AlleEinzelner Port Port-Bereich |
Die Clients können über verschiedene Ports die Verbindung aufbauen
|
Speichern und schließen |
Anlegen des Dienstes
|
Dienstgruppe anlegen
Anschließend sollte unter
Dienstgruppen mit
Gruppe hinzufügen eine neue Gruppe angelegt werden:
Beschriftung |
Wert |
Beschreibung
|
Name: |
voip ohne ALG |
Aussagekräftiger Name
|
Dienste: |
udp 5060 ohne Typ Zielports:5060 rtp Zielports: 7070:7089 |
Der soeben neu angelegte Dienst für udp (Port 5060) und der Dienst rtp (ports 7070-7089) müssen enthalten sein
|
Paketfilter Regel
Ein laden oder entladen der sip-Helper Module per CLI ist nicht mehr erforderlich