Subnetze zu der SIP Konfiguration auf dem Swyx Server hinzufügen

[itpro]

Hallo,

wir haben ein Problem mit der Telefonie über VPN. Es liegt an der eingesetzten Firewall und der Hersteller Sophos (Sophos XG Firewall) hat das Problem bereits identifiziert und arbeitet daran, dieses zu beheben.

Beschreibung des Fehlers:

Wenn User über VPN telefonieren (Homeoffice), funktioniert die Sprache in bestimmten Szenarien nur in einer Richtung.

Beispiel Szenario:

Ein externer Anrufer ruft einen Swyx User an, der im Homeoffice arbeitet und über VPN mit dem Firmennetzwerk verbunden ist. Die Sprache funktioniert in beiden Richtungen einwandfrei. Nun leitet der Swyx User diesen Anruf an einen zweiten Swyx User, der ebenfalls im Homeoffice über VPN arbeitet, weiter, dann hört der zweite Swyx User den externen Anrufer nicht sprich die Sprache funktioniert nur in einer Richtung. Der Swyx Server befindet sich am Hauptstandort der Firma im LAN. Die Firewall Regeln sind entsprechend konfiguriert. Es wurde auch testweise zwischen dem LAN (Swyx Server) und den VPN Usern alles freigegeben. Trotzdem besteht das Problem. Legt nun der externe Anrufer auf und ruft wieder den zweiten Swyx User, dann funktioniert die Sprache in beiden Richtungen.

Der Sophos Support hat mich darum gebeten, 2 lokale Subnetze zu der SIP Konfigurationsdatei auf dem Swyx-Server hinzuzufügen.

Hier die Antwort vom Sophos Support:

“If the SIP provider team is different then the SWYX Client providers, then you have a word with the SWYX team again on how to add the local subnet (192.168.25.x) and VPN subnet (10.10.100.x) in the appropriate SIP config files of SWYX and check if it helps to resolved.

We need your intervention and SWYX intervention for checking above addition of subnets, also from sophos side we are not aware on how to add those subnets on SWYX client/PBX side”

 

Unser Provider ist sipgate.

Weiß vielleicht jemand, wie ich diese Einstellung vornehmen kann?

Wie bereits erwähnt, Sophos hat diese Problematik mit der XG Firewall eingesehen und würde gerne diese fixen. Das ist jetzt auch so weit eskaliert, dass das Problem bei der Entwicklung von Sophos gelandet ist. Sophos ist nun sehr interessiert, diese Probleme zu beheben, jedoch bedarf es eine Zusammenarbeit zwischen Sophos und Swyx.

 

Für eine Antwort bedanke ich mich im Voraus.

 

Mit freundlichen Grüßen

itpro

[jodost]

Ich verstehe nicht, was die von dir wollen.

 

Aber mein erster Gedanke zu deinem Problem: macht der VPN-Server evtl. NAT für die VPN-Clients?

 

Schnelle Abhilfe wäre, die VPN-Clients über den RemoteConnector laufen zu lassen. Ggf (wenn Ihr den ansonsten nicht von extern nutzen könnt/wollt), auch als Remote-Server die normale Swyx IP nehmen, dann würde er durch euer VPN seinen RemoteConnector Tunnel aufbauen und damit alle Arten von NAT-Problemen erschlagen.

[srom]

Können die Clients sich den grundsätzlich erreichen ? Also Ping z.b. 
 

Habt ihr mal die IPSec SA geprüft ?

Oft wird der Client mit einer /32 Maske mit dem lokalen Netz gekoppelt und keine SA für Client zu Client erzeugt.

 

Oder einfach RemoteCommector das ist der Swyx Server der Medienendpunkt 

[itpro]

@jodost

Der VPN-Client sendet die RTP Pakete an das Gateway anstatt an den jeweiligen Client. Das scheint ein Bug in der Firewall zu sein und der Hersteller hat den Fehler identifiziert bzw. eingesehen. Das Problem tritt nur bei SIP/IP-Telefonie auf. Alles andere funktioniert einwandfrei.

 

@srom

Die Clients können sich problemlos erreichen. Auch der Ping funktioniert einwandfrei. IPSec SA trifft hier nicht zu, da es sich hier um SSL VPN handelt.

 

Das mit dem RemoteConnector werde ich mir mal anschauen.

[Nilsson654]

On 12/17/2019 at 11:15 AM, itpro said:

Hallo,

wir haben ein Problem mit der Telefonie über VPN. Es liegt an der eingesetzten Firewall und der Hersteller Sophos (Sophos XG Firewall) hat das Problem bereits identifiziert und arbeitet daran, dieses zu beheben.

 

Beschreibung des Fehlers:

Wenn User über VPN telefonieren (Homeoffice), funktioniert die Sprache in bestimmten Szenarien nur in einer Richtung.

 

Beispiel Szenario:

Ein externer Anrufer ruft einen Swyx User an, der im Homeoffice arbeitet und über VPN mit dem Firmennetzwerk verbunden ist. Die Sprache funktioniert in beiden Richtungen einwandfrei. Nun leitet der Swyx User diesen Anruf an einen zweiten Swyx User, der ebenfalls im Homeoffice über VPN arbeitet, weiter, dann hört der zweite Swyx User den externen Anrufer nicht sprich die Sprache funktioniert nur in einer Richtung. Der Swyx Server befindet sich am Hauptstandort der Firma im LAN. Die Firewall Regeln sind entsprechend konfiguriert. Es wurde auch testweise zwischen dem LAN (Swyx Server) und den VPN Usern alles freigegeben. Trotzdem besteht das Problem. Legt nun der externe Anrufer auf und ruft wieder den zweiten Swyx User, dann funktioniert die Sprache in beiden Richtungen.

Der Sophos Support hat mich darum gebeten, 2 lokale Subnetze zu der SIP Konfigurationsdatei auf dem Swyx-Server hinzuzufügen.

Hier die Antwort vom Sophos Support:

 

“If the SIP provider team is different then the SWYX Client providers, then you have a word with the SWYX team again on how to add the local subnet (192.168.25.x) and VPN subnet (10.10.100.x) in the appropriate SIP config files of SWYX and check if it helps to resolved.

 

We need your intervention and SWYX intervention for checking above addition of subnets, also from sophos side we are not aware on how to add those subnets on SWYX client/PBX side”

 

 

 

Unser Provider ist sipgate.

 

Weiß vielleicht jemand, wie ich diese Einstellung vornehmen kann?

 

 

Wie bereits erwähnt, Sophos hat diese Problematik mit der XG Firewall eingesehen und würde gerne diese fixen. Das ist jetzt auch so weit eskaliert, dass das Problem bei der Entwicklung von Sophos gelandet ist. Sophos ist nun sehr interessiert, diese Probleme zu beheben, jedoch bedarf es eine Zusammenarbeit zwischen Sophos und Swyx.

 

Für eine Antwort bedanke ich mich im Voraus.

 

Mit freundlichen Grüßen

itpro

gibt es noch was neues von Sophos zu deiner Anfrage ?

Ich habe zeitweise die gleichen Probleme mit unserer Sophos.

 

Vielen Dank im Voraus !