Firewall für Easybell VoIP und SIP Trunking konfigurieren

Nicht jedes Easybell-Produkt nutzt denselben Registrar und auch die Ports und Protokolle unterscheiden sich teilweise. Daher ist es wichtig, dass Sie die Konfiguration der Firewall entsprechend der folgenden Tabellen vornehmen.

Bitte beachten Sie, dass die Cloud Telefonanlage weitere Freigaben benötigt:

• ctad.easybell.de (Funktionalität der Benutzeroberfläche)
• Port 443 für https (automatische Konfiguration von Endgeräten)

Sie können die Sicherheit erhöhen, indem Sie die Freigaben weiter einschränken.

Aber Achtung: Je weiter Sie die Freigaben in der Firewall beschränken, desto eher kann es passieren, dass erwünschte Verbindungen blockiert werden!

• Für ausgehende Verbindungen:
  Sie können Sie die Freigaben auf die internen IPs der Telefonanlage/Telefone beschränken.
• Für eingehende Verbindungen:
  Sie können Sie die Freigaben auf den genutzten Registrar beschränken. Nutzen Sie dann bitte unbedingt die FQDN und nicht die IP-Adressen. Letztere können sich jederzeit ändern. Außerdem müssen die Telefone im lokalen Netzwerk eine feste IP-Adressen erhalten. Beim häufig verwendeten DHCP ist das nicht der Fall.

In 95% der Anwendungsfälle ist es ausreichend, NAT als Sicherheitsmerkmal zu nutzen, anstatt die Konfiguration der Firewall anzupassen und dabei evtl. notwendige Verbindungen zu blockieren.

NAT steht für „Network Address Translation“ und ist eine in den meisten Routern integrierte Funktion. Bei Verbindungen ins Internet wird dadurch statt der lokalen Netzwerkadresse (LAN) eine abweichende, öffentliche Adresse kommuniziert. Antworten werden unter dieser öffentlichen „Identität“ angenommen und an das lokale Netzwerkgerät weitergeleitet. Der Router speichert die Zuordnung von lokaler Adresse zur WAN-Adresse in der sogenannten NAT-Tabelle.

Die Besonderheit: Die Daten werden nur dann an das Gerät weitergeleitet, wenn vorher eine ausgehende Verbindung bestanden hatte. Diese Funktionsweise ergänzt sich in der Regel perfekt mit IP-Telefonie. Denn bei Voice-over-IP wird immer zunächst eine Verbindung aus dem lokale Netzwerk ins Internet aufgebaut, sei es bei der Registrierung eines Endgeräts oder bei einem ausgehenden Anruf. Mit NAT wird der Router dann eine WAN-Adresse bereitstellen und anschließend Antworten von dieser öffentlichen (WAN) an die lokale Adresse (LAN) weiterleiten. Der Austausch von Datenpaketen ist also in beide Richtungen sichergestellt.

Gleichzeitig werden alle unberechtigten Zugriffe von außen blockiert – NAT wirkt dadurch wie eine rudimentäre Firewall.

Egal, um welche Installationsvariante es sich handelt, ist es immer von Vorteil, im Netzwerk den Voice-over-IP-Datenverkehr zu priorisieren. Viele Router und Firewall-Lösungen bieten dafür die Funktion des QoS (Quality of Service) an, welche nach Möglichkeit aktiviert und auf SIP- und RTP-Daten konfiguriert werden sollte.
 

Die folgenden Dienste können sich negativ auf die IP-Telefonie auswirken und sollten daher soweit es geht deaktiviert werden:

• SIP-ALG (SIP Application-Layer-Gateway)
• IGMP-Snooping (Überwachung des Internet Group Management Protocol)
• ICMP (Internet Control Message Protocol)

Bei komplexeren Installationen kommt häufig weitere Netzwerk-Hardware zum Einsatz, um die Reichweite zu erweitern oder mehr Geräte anbinden zu können. Dies macht es aber auch schwerer (Stör-)Einflüsse zu identifizieren. Wenn zum Beispiel ein Subnetz durch einen aktiven Switch verwaltet wird, können dort die oben genannten Dienste unbemerkt aktiviert sein und die IP-Telefonie im Netzwerk beeinträchtigen.

Die Nutzung dieser Techniken ist selbstverständlich möglich, erfordert aber erweiterte Kenntnisse in Netzwerktechnik und Konfiguration von internen Routings. Im Zweifelsfall sollten die oben genannten Dienste daher auf sämtlichen Geräten deaktiviert oder Telefone (wenn möglich) nicht über diese Subnetze angebunden werden.

Ergänzend finden Sie hier detaillierte Ausführungen zu den einzelnen Anwendungsgebieten:

Einzelrufnummer mit einem Endgerät
Telefonanlagen
Easybell Cloud Telefonanlage
Easybell-App

Die einfachste Variante ist die für Heim- und Kleinstinstallationen. Wenn zu Haus oder im Büro lediglich ein einzelnes Telefon an einer Einzelrufnummer registriert ist, müssen nur wenige Punkte beachtet werden.

Die SIP-Registrierung erfolgt bei den meisten IP-Telefonen standardmäßig über den SIP-Port 5060 mit dem Protokoll UDP oder TCP, alternativ können Sie Ihr Gerät auch auf den SIP-Port 5064 einrichten. Für die Audioübertragung wird hier ein Port-Bereich von 20000-50000 (UDP oder TCP) genutzt.

Weiterhin ist bei diesen Installationen lediglich darauf zu achten, dass die Services SIP-ALG und IGMP-Snooping deaktiviert sind, was die meisten Router für Heim- und Kleinstinstallationen von Hause aus mitbringen.

Im Geschäftsbereich kommen häufig Telefonanlagen mit einem oder mehreren SIP Trunks zum Einsatz.

Die SIP-Registrierung erfolgt meist standardmäßig über den SIP-Port 5060 mit dem Protokoll UDP oder TCP, alternativ können Sie Ihre Anlage auf den Port 5064 einstellen. Für die Audioübertragung wird hier ein Port-Bereich von 20000-50000 (UDP oder TCP) genutzt.

Zu beachten ist lediglich, dass viele Anlagenhersteller noch spezifische Einstellungen für die Funktion und Erreichbarkeit des Telefonsystems benötigen. Diese entnehmen Sie bitte den Dokumentationen Ihrer gewählten PBX.

Weiter ist es häufig der Fall, dass in größeren, komplexeren Netzwerken natürlich auch mehr Hardware zum Einsatz kommt, welche mit aktiven Elementen die Infrastruktur beeinflusst. So ist es zum Beispiel nicht selten der Fall, dass aktive Switche und/oder weitere Router, welche Subnetze verwalten, die Services SIP-ALG, IGMP-Snooping, ICMP u.ä. bereitstellen oder per Default aktiviert haben. Dies sind Faktoren, die die Funktionen der IP-Telefonie im Netzwerk beeinflussen oder gar stören können. Hier muss daher darauf geachtet werden, dass auch diese zusätzlichen Geräte die genannten Services und Funktionen deaktiviert haben.

Auch ist es wichtig zu beachten, dass komplexe Netzwerkkonstruktionen mit Subnetzen und/oder VLANs die Funktionalitäten beeinträchtigen können. Die Nutzung dieser Techniken ist selbstverständlich möglich, erfordert aber erweiterte Kenntnisse in Netzwerktechnik und Konfiguration von internen Routings.

Sollten Sie eine redundante Internetverbindung nutzen, dann stellen Sie bitte sicher, dass der SIP-Verkehr nur über eine Leitung geleitet wird, da es sonst zu Schwierigkeiten mit der Registrierung oder Telefonaten kommen kann.

Wenn Sie eine Cloud Telefonanlage nutzen, müssen sich Ihre Endgeräte mit unserer Infrastruktur verbinden können. Die Cloud Telefonanlage hat einen gesonderten SIP-Registrar: pbx.easybell.de. Um die Funktionalität der Web-Oberfläche und einen reibungslosen Ablauf zu gewährleisten, muss außerdem die Domain ctad.easybell.de freigegeben sein.

Die Cloud Telefonanlage nutzt den SIP-Port 5060. In der Cloud Telefonanlage erfolgt die Audio-Übertragung im Port-Bereich 10000 - 50000. Als Protokoll wird UDP oder TCP eingesetzt.

Auch bei der Nutzung der easybell Cloud Telefonanlage sollte darauf geachtet werden, dass in dem/den lokalen Netzwerk(en) in dem/denen die Telefone angemeldet sind, keine zusätzlichen Services wie SIP ALG etc. aktiv sind.

Für die automatische Provisionierung der Telefone in der Cloud Telefonanlage wird lediglich der Port 443 für HTTPs benötigt. Dieser ist in der Regel bereits in jedem Router freigegeben.

Für die Easybell-App müssen für den SIP-Verkehr die Ports 4998, 5000, 4210 und 4280 (jeweils TCP) freigegeben sein. Außerdem die Ports 4998, 10000-20000 (UDP) für die RTP-Pakete der Applikation. Die Hosts, an denen sich die Applikation anmeldet lauteten webrtc.easybell.de und webrtc2.easybell.de.

Eine Verschlüsselung der Telefonie über die Easybell-App ist derzeit technisch noch nicht möglich.