Verstehe Firewall (noch) nicht

Was genau meinst du mit Telefonanlage? Hast du einen Asterisk auf einem Netcup VPS zu laufen ?

Die Regeln 13 bis 18 sind m.E. falsch, da gehört die Portnummer in die Spalte Src Ports. DNS scheint mir auch nicht richtig, das läuft doch normalerweise über UDP. Und Regeln für NTP fehlen vermutlich auch.

Edit: Immer empfehlenswert: RE: Ab sofort: Firewall für netcup vServer verfügbar

Zitat von SarpeTronic

Mein_IPv6_Präfix::/128

Da muss nicht dein Präfix stehen sondern die ganze Adresse, oder /64 statt /128, wenn du dein Subnetz freigeben möchtest.

Firewalls mit Outgoing default-drop sind ein Thema für Fortgeschrittene. Fang erst mal ohne Outgoing Regeln an, dann schaltet die Firewall in der Richtung auf Durchzug. Das ist insbesondere für UDP wichtig, weil bei Netcup die Firewall für UDP nicht stateful ist. Es reicht also für UDP nicht, Pakete reinzulassen, um die Gegenrichtung automatisch zu erlauben. Wenn es Outgoing Regeln gibt, wird per default alles gedropt: Nur was du explizit rauslässt geht auch raus.

Du lässt deinen SIP-Provider nur per TCP auf IPv4 rein, nicht per UDP auf IPv4. Bau die Firewall langsam auf, damit sowas nicht übersehen wird. Du kannst dir die laufenden Verbindungen auf deinem Server mit netstat oder ss (für socket statistics) ansehen und dann z.B. die Outgoing Regeln danach aufbauen. (Beide Tools haben wichtige und erklärungsbedürftige Optionen, also mal in die man pages gucken.)

Hast Du auch Regeln erstellt für DNS- und NTP-Antworten eingehend? Poste doch nochmal dein gesamtes Regelwerk.

Du machst da IMHO zum Start eine Riesenliste für alles Mögliche.
Erstmal ipv4 zum laufen bekommen, dann mit ipV6 nachziehen.

Was genau läuft nicht?
Der Trunk zum Provider?
Die Anmeldung Deiner Telefone?

Kannst Du bitte mal VOIP-System, SIP-Provider und ggf. ein genutztes Telefon nennen?
Willst Du die Telefone per Public IP mit deiner Anlage verbinden oder soll das eventuell in ein VPN?

Ich hab zwar meine Telefonanlage (eine Auerswald 5500R) im heimischen LAN bzw. per VPN (mit fester IPv4 nach außen…)

Die ist aber u.a. für einen Rufnummernblock (ich verwalte darüber verschiedene Rufnummern) auch per SIP-Trunk via SIPGate Trunking angebunden, für einzelne Rufnummern aber auch anders.

Dafür braucht es bzgl. VOIP genau diese Einträge

Deny all incoming

Allow all outgoing (würde ich erstmal genau so zulassen)

VOIP RTP Incoming UDP 0.0.0.0 Telefonanlagen-IP IP:5004-5020
VOIP SIP Incoming UDP 0.0.0.0 Telefonanlagen-IP:5060-5076
VOIP Provisioning Incoming TCP 0.0.0.0 Telefonanlagen-IP:4433

Alles andere ist dann Thema „andere Server-Dienste“, also als Basis erstmal SSH und so dann auch deine Admin-Weboberfläche.

Aktuell bringt es sicher wenig weiter herumzuraten. Der TS müsste mal genauer beschreiben, was er überhaupt versucht umzusetzen.

Es tut mir leid, aber mit den Angaben von Dir würde bei mir weder der SIP-Trunk funktionieren noch sich eines meiner Endgeräte mit der Telefonanlage verbinden können.

Ich rate mal, dass Du Asterisk verwendest, darauf deutet 10.000-20.000 hin.

Für das was Du brauchst genügen

VOIP RTP Incoming UDP 0.0.0.0 any Telefonanlagen-IP IP:10000-20000
VOIP SIP Incoming UDP 0.0.0.0 any Telefonanlagen-IP:5060-5076

ssh incoming tcp 0.0.0.0 any Telefonanlagen-IP 22

Https incoming tcp 0.0.0.0 any Telefonanlagen-IP 443 oder 80

Drop tcp / Udp an das Ende

Das Ganze mal 2 für ipv6.

Das ist sicherlich alles richtig Aber wahrscheinlich nicht ausreichend um zu funktionieren.
Daher würde ich an Deiner Stelle noch über den Sip-Trunk und das Provisioning deiner Endgeräte nachdenken. Dafür fehlen halt sämtliche Angaben. Ohne Provisioning haben Deine Endgeräte keine Telefonnummer und wissen auch nicht, dass sie Port 10000 benutzen sollen etc.

Und bevor Du Dich daran festbeißt - läuft bei Dir lokal irgendeine iptables/nftables-Config, z.B. sowas wie ufw?

Zeig die Regeln. Es gibt genug Möglichkeiten, was falsch zu machen, dass "DNS 53 & NTP 123 UDP rein und raus" praktisch gar nichts sagt. Hast du deine IP-Adressen statisch konfiguriert oder nutzt du DHCP, wie es voreingestellt ist? Dann hast du mit den oben gezeigten Regeln und aktiver Firewall gar keine Adresse.

Du kannst dich mit der VNC-Konsole im ServerControlPanel auf deinen Server einloggen, ohne dass das Netzwerk funktioniert. Dann hast du die Sicht auf die Innenseite der Firewall und kannst z.B. mit tcpdump anzeigen lassen, was zu deinem Server durchkommt. Es kann wie schon erwähnt auch hilfreich sein, die Firewall noch nicht zu aktivieren und erstmal die Verbindungen anzuschauen, die dein System dann macht. Das gibt dir eine Vorstellung davon, welche Adressen und Ports lokal und remote im Spiel sind.

Du musst mehr gucken und weniger versuchen, alles auf einmal richtig zu raten.

Zitat von SarpeTronic

Es gibt eigentlich nichts zum Raten:
Telefonanlage läuft bei netcup:

1. NETCUP_IPv4_Adresse
2. NETCUP_IPv6_Präfix::5060/64
3. SIP_Provider_IPv4 & 6
4. Mein lokales Netz Mein_IPv4 & 6_Präfix::/64

Managen möchte ich das natürlich aus meinem Netz, also:

• Mein_IPv4 & 6_Präfix::/64, TCP HTTPS 443
• Mein_IPv4 & 6_Präfix::/64, TCP SSH

Endgeräte:

• UDP SIP 5060 & 5061 aus meinem Netz sowie aus dem WWW

Sprachkanäle:

• UDP 10000-20000

Wenn die Firewall aus ist bzw. auf Standard seht (bis auf Mail), funktioniert die Anlage einwandfrei

Endgeräte verbinden, Trunk verbindet, Gespräche werden mit hin- und Rückkanal aufgebaut

Wenn ich die Firewall anschalte, geht manchmal noch das Webinterface, auch manchmal noch der Trunk und vielleicht noch ein oder mehrere Endgeräte, die sich registrieren, aber es werden auf keinen Fall Gesprächskanäle aufgebaut.

Alles anzeigen

Das ist nicht rein zufaellig eine 3CX, die du da betreiben moechtest?

Zitat von SarpeTronic

NETCUP_IPv6_Präfix::5060/64

Ergibt so keinen Sinn. Falls die Geräte ID angegeben wird (hier 0000:0000:0000:5060) dann einfach die Netzmaske weglassen (zur Not /128), oder falls das ganze Netzwerk gemeint ist, dann NETCUP_IPv6_Präfix::1/64.

5060 Sieht auch verdächtig nach einem SIP Port aus, vielleicht ging Dir da was durcheinander?

Zitat von SarpeTronic

Ich betreue seit 30 Jahren komplexe IT-Infrastrukturen, ich habe i.d.R. weitaus schwierigere Konstellationen laufen.

Wenn Du mir nicht helfen willst. ist das Dein gutes Recht, aber hör auf mir so einen Unsinn von DHCP etc. zu erzählen.

Die Netcup Firewall ist nicht stateful für UDP. Dein Server fragt u.U. den DHCP-Server nach einer Adresse und bekommt keine, wenn du nicht die Anfrage und die Antwort ausdrücklich durchlässt. Mit anderen Firewalls, die du gewohnt bist, ist die ausgehende Richtung default-allow und die Antwort implizit durch die Anfrage erlaubt, bzw. die Firewalls sind für die grundlegenden Funktionen vorkonfiguriert und DHCP läuft fast immer "auf" der Firewall. Deine gezeigten Regeln enthalten keine Freigaben für DHCP. Wenn dein Server DHCP für die Adressvergabe verwendet, dann bekommt er keine Adresse und damit ist dann der ganze Rest der Firewall irrelevant. Dass du die Adresse statisch konfiguriert hast, kann ich nicht erraten. Den Fall, dass das Netzwerk wegen nicht zugelassenem DHCP nicht funktioniert, gab es im Forum schon. U.a. habe ich dort darauf hingewiesen, dass die Regeln, die dafür an prominenter Stelle im Forum angegeben waren, die falschen Ports freigegeben und damit nicht funktioniert haben. Soviel zu dem Unsinn.

Ich hatte den Eindruck, dass du Hilfe gesucht hast, aber jetzt sieht es so aus, dass du dich nur ausheulen willst, warum die Firewall nicht funktioniert. Tut sie, aber deine Konfiguration taugt nichts. Auf mindestens einen elementaren Fehler bei den Regeln für eine VoIP-Anlage habe ich schon hingewiesen. Die Antwort darauf war Schweigen im Wald. Viel Glück.

Zitat von SarpeTronic

Die Adressen und Ports stehen dort oben, da gibt es nicht zu raten.

Die Anlage funktioniert zu 100% wenn ich die Firewall ausschalte.

Also muss die Firewall spezielle Einstellungen benötigen, welche ich bisher übersehe.

Ich verstehe nur mit den von Dir angegebenen Regeln nicht einmal, warum dort irgendwas NICHT durchkommen sollte.
Es sind ja bei Dir ausschließlich ACCEPT-Regeln.

Ich hab bei mir ja auch die NETCUP-Firewall an, nicht eine Firewall-Policy definiert und es gibt nur die Standard-ICMP- und ALLOW-ALL-Blöcke. Damit erreicht man alles auf den Servern, unabhängig davon, ob die Firewall ein- oder ausgeschaltet ist.

Die Firewall pro Server ist ja das Ergebnis einer Zusammenstellung von Firewall-Policies in einer von Dir weitestgehend bestimmten Reihenfolge, die von oben nach unten abgearbeitet wird. Ich vermute daher, dass es eine DROP-Policy vor dem systemseitigen ACCEPT-ALL-Block am Ende gibt.
Daher nochmal die Frage: Ist dem so? Welche Policy-Überschriften stehen in der Server-bezogenen Firewall in welcher Reihenfolge?

Bei mir gibt es nur

netcup Ping allow

Implizite Regeln

Was gibt es bei Dir?

Du müsstest da eine Art DROP ALL-Policy definiert haben, damit da überhaupt irgendwas geblockt wird.
Ist Deine VOIP-Firewall-Policy überhaupt Teil der Firewall des Servers?
Steht diese in der Firewall des Server ÜBER der VOIP-Policy oder danach?

Kannst Du bitte Deine Ports 5060/5061 und 10.000-20.000 checken, vielleicht mal mit einem einfachen
"netstat -a|grep LISTEN"?
Welche Ports lauschen da und haben vielleicht eine wichtige Funktion?

Zitat von SarpeTronic

UDP eingehend vom SIP-Provider gelöscht

Zitat von SarpeTronic

Ich lese, dass ich Deinen und andere Ratschläge gelesen, umgesetzt und mich dafür bedankt habe.

Wie du eine VoIP-Telefonanlage betreiben möchtest, ohne SIP auf UDP anzunehmen, ist mir ein Rätsel, aber da sprechen vielleicht die 30 Jahre IT-Erfahrung aus dir. Nochmal viel Glück.