Beiträge von SarpeTronic

Zitat von darkstar

Nur zur Sicherheit: das Präfix::5060 ist so beabsichtigt?
Ansonsten fällt mir auf: Rule 13 erlaubt eigentlich eingeschränkt das, was bereits Rule 12 erlaubt.
Und bei Rule 9 würde ich nochmal schauen, ob das TCP oder doch wie bei ipv4 auch UDP sein sollte.
TCP ist ja bereits für alle Ports in den Rules 5 und 6 erlaubt.
Wenn es UDP sein soll, dann erlaubt Rule 9 etwas, was mit Rule 11 viel breiter erlaubt ist.

Und finally: Sind es die Kanäle 10000-30000 oder 10000-20000?D

Alles anzeigen

Präfix::5060, die IPv6 hat am Ende die Adresse 5060, ich hatte schon beschrieben warum, Webserver habe bei mir z.B. die Endadresse 80 oder 443, Mailserver 25 usw., als kleiner Hinweis auf den laufenden Dienst, wenn man Logs schaut, ist das auf Dauer sehr hilfreich.

Du hast Recht bei Rule 9, 12 und 13.

9 War natürlich UDP beabsichtigt, wurde aber durch 11 "geheilt".

Eigentlich sind derzeit nur 10,11,12 und 14 nötig, da ich 10k-30k als Bereich freigebe, ich kläre derzeit mit dem Anlagenanbieter und dem Sipprovider noch, welche Ports wie adressiert sein sollten. Denn überraschenderweise finden sich für SIP im Netz kaum genaue Anweisungen, welcher Port wohin adressiert werden muss, hinter Wald- und Wiesenroutern läuft das ja auch wunderbar.

Ich hatte nur noch 2 weitere Regel für den Sipprovider angelegt, da ich vermute, dass der Anlage 10K-20K reichen, der Sipprovider braucht vermutlich 15K-30K, das würde ich zukünftig noch trennen.

Aber wenn ich jetzt schon dabei bin, mache ich es gründlich mit entsprechender Dokumentation.

Vermutlich läuft das auf das folgende Resultat aus:

ACCEPT INCOMING UDP SIP_IPv4 * NETCUP_IPv4_Adresse 5060-5061
ACCEPT INCOMING UDP SIP_IPv6/64 * NETCUP_IPv6_Präfix::5060 15000-30000
ACCEPT INCOMING UDP * * NETCUP_IPv6_Präfix::5060 5060-5061
ACCEPT INCOMING UDP * * NETCUP_IPv6_Präfix::5060 10000-20000
ACCEPT INCOMING UDP * * NETCUP_IPv4_Adresse 5060-5061
ACCEPT INCOMING UDP * * NETCUP_IPv4_Adresse 10000-20000

Ich konnte nicht bis nach Büroschluss oder auf Antwort warten 😂, also habe ich noch die RTP-Ports der Anlage auf 6000-14999 geändert, damit ich keine Überschneidungen mehr habe:

ACCEPT INCOMING UDP * * NETCUP_IPv6_Präfix::5060 5060-5061
ACCEPT INCOMING UDP * * NETCUP_IPv6_Präfix::5060 6000-14999
ACCEPT INCOMING UDP SIP_IPv6/64 * NETCUP_IPv6_Präfix::5060 15000-30000
ACCEPT INCOMING UDP * * NETCUP_IPv4_Adresse 5060-5061
ACCEPT INCOMING UDP * * NETCUP_IPv4_Adresse 6000-14999
ACCEPT INCOMING UDP SIP_IPv4 * NETCUP_IPv4_Adresse 15000-30000

Zitat von NaN

Wie du eine VoIP-Telefonanlage betreiben möchtest, ohne SIP auf UDP anzunehmen, ist mir ein Rätsel, aber da sprechen vielleicht die 30 Jahre IT-Erfahrung aus dir. Nochmal viel Glück.

Fisch.jpg

Zitat von ckd

Lies dir mal diesen Post von mir durch und konfigurier die UDP Regeln in der Netcup Firewall genauso. Dann einfach nur noch das wegknipsen, was du nicht brauchst. So hast du zumindest eine funktionierende Konfiguration und der Rest ist dann Trial und Error -- so ist es zumindest einfacher.

Das sieht gut aus, dass schaue ich mir Morgen an , ich bin auch mittlerweile gottseidank ein Stück weiter.

Ich kann jetzt raustelefonieren und bekomme Sprachkanäle, nur denke ich, das man das noch mehr eingrenzen könnte, aber schon mal besser als nichts.

Firewall —
============================
                                        
netcup Ping allow [Default]
allow ICMP (ping) on IPv4 and IPv6
                                        
# Description Action Direction Protocol Sources Src Port Destinations Dst Port
-- -------------------------- ------ --------- -------- -------------------- -------- ---------------------- -----------
1 allow incoming ping ACCEPT INCOMING ICMP * * * *
2 allow incoming ping6 ACCEPT INCOMING ICMPv6 * * * *
3 allow outgoing ping ACCEPT OUTGOING ICMP * * * *
4 allow outgoing ping6 ACCEPT OUTGOING ICMPv6 * * * *
                                        
ST_Manage
                                        
# Description Action Direction Protocol Sources Src Port Destinations Dst Port
-- -------------------------- ------ --------- -------- -------------------- -------- ---------------------- -----------
5 ACCEPT INCOMING TCP Meine_IPv6_Präfix/64 * NETCUP_IPv6_Präfix::5060 *
6 ACCEPT INCOMING TCP Meine_IPv4 * NETCUP_IPv4_Adresse *
                                        
DNS_NTP
                                        
# Description Action Direction Protocol Sources Src Port Destinations Dst Port
-- -------------------------- ------ --------- -------- -------------------- -------- ---------------------- -----------
7 DNS response stateless-udp ACCEPT INCOMING UDP * 53 * *
8 NTP response stateless-udp ACCEPT INCOMING UDP * 123 * *
                                        
VOIP
                                        
# Description Action Direction Protocol Sources Src Port Destinations Dst Port
-- -------------------------- ------ --------- -------- -------------------- -------- ---------------------- -----------
9 ACCEPT INCOMING TCP SIP_IPv6/64 * NETCUP_IPv6_Präfix::5060 10000-30000
10 ACCEPT INCOMING UDP * * NETCUP_IPv6_Präfix::5060 5060-5061
11 ACCEPT INCOMING UDP * * NETCUP_IPv6_Präfix::5060 10000-30000
12 ACCEPT INCOMING UDP * * NETCUP_IPv4_Adresse 5060-5061
13 ACCEPT INCOMING UDP SIP_IPv4 * NETCUP_IPv4_Adresse 5060-5061
14 ACCEPT INCOMING UDP * * NETCUP_IPv4_Adresse 10000-30000          
                                        
Implicit Rules [System]
Applied automatically at the end
                                        
# Description Action Direction Protocol Sources Src Port Destinations Dst Port
-- -------------------------- ------ --------- -------- -------------------- -------- ---------------------- -----------
15 Drop all DROP INCOMING ANY * * * *
16 Accept all ACCEPT OUTGOING ANY * * * *

Zitat von darkstar

Ich verstehe nur mit den von Dir angegebenen Regeln nicht einmal, warum dort irgendwas NICHT durchkommen sollte.
Es sind ja bei Dir ausschließlich ACCEPT-Regeln.

Ich hab bei mir ja auch die NETCUP-Firewall an, nicht eine Firewall-Policy definiert und es gibt nur die Standard-ICMP- und ALLOW-ALL-Blöcke. Damit erreicht man alles auf den Servern, unabhängig davon, ob die Firewall ein- oder ausgeschaltet ist.

Die Firewall pro Server ist ja das Ergebnis einer Zusammenstellung von Firewall-Policies in einer von Dir weitestgehend bestimmten Reihenfolge, die von oben nach unten abgearbeitet wird. Ich vermute daher, dass es eine DROP-Policy vor dem systemseitigen ACCEPT-ALL-Block am Ende gibt.
Daher nochmal die Frage: Ist dem so? Welche Policy-Überschriften stehen in der Server-bezogenen Firewall in welcher Reihenfolge?

Bei mir gibt es nur

netcup Ping allow

Implizite Regeln

Was gibt es bei Dir?

Du müsstest da eine Art DROP ALL-Policy definiert haben, damit da überhaupt irgendwas geblockt wird.
Ist Deine VOIP-Firewall-Policy überhaupt Teil der Firewall des Servers?
Steht diese in der Firewall des Server ÜBER der VOIP-Policy oder danach?

Kannst Du bitte Deine Ports 5060/5061 und 10.000-20.000 checken, vielleicht mal mit einem einfachen
"netstat -a|grep LISTEN"?
Welche Ports lauschen da und haben vielleicht eine wichtige Funktion?

Alles anzeigen

Ich verstehe es ja auch nicht. wenn ich nur IPv4 nutze, HTTPS auf Port 443 von meinem Netz freigebe, bin ich schon komplett ausgesperrt.
Die Firewall erstellt die DROP ALL-Policy automatisch, sobald dort eine eigene Policies veröffentlicht wird.

Die Anlage ist ziemlich vernagelt, ich kann nicht einmal herausfinden welche Firewall läuft. normalerweise habe ich nur von der GUI Zugriff, ich habe aber root (meine Anlage) gehackt.

Firewall —
============================
                                        
netcup Ping allow [Default]
allow ICMP (ping) on IPv4 and IPv6
                                        
# Description Action Direction Protocol Sources Src Port Destinations Dst Port
- -------------------- ------ --------- -------- ----------------------------------- -------- ---------------------- --------
1 allow incoming ping ACCEPT INCOMING ICMP * * * *
2 allow incoming ping6 ACCEPT INCOMING ICMPv6 * * * *
3 allow outgoing ping ACCEPT OUTGOING ICMP * * * *
4 allow outgoing ping6 ACCEPT OUTGOING ICMPv6 * * * *
                                        
ST
                                        
# Description Action Direction Protocol Sources Src Port Destinations Dst Port
- -------------------- ------ --------- -------- ----------------------------------- -------- ---------------------- --------
5 ACCEPT INCOMING TCP Meine_IPv6_Adresse (PC) * NETCUP_IPv6_Präfix::/64 *
6 ACCEPT INCOMING TCP Mein_IPv6_Präfix::/64 * NETCUP_IPv6_Präfix::5060 *
7 ACCEPT INCOMING TCP Meine_IPv4 * NETCUP_IPv4_Adresse *
                                        
Implicit Rules [System]
Applied automatically at the end
                                        
# Description Action Direction Protocol Sources Src Port Destinations Dst Port
- -------------------- ------ --------- -------- ----------------------------------- -------- ---------------------- --------
8 Drop all DROP INCOMING ANY * * * *
9 Accept all ACCEPT OUTGOING ANY * * * *

Ich habe es nach vielen hin und her wenigstens geschafft, mir WebUI und SSH von meinem Netz aus freizuschalten mit den Regeln oben zu gewähren.

DNS und NTP gehen mit den nächsten beiden Regeln.

Der Trick ist, erst einmal keine ausgehende Regel zu setzen, dann wird die Regel block all ausgehend nicht getriggert.

Zitat von NaN

Auf mindestens einen elementaren Fehler bei den Regeln für eine VoIP-Anlage habe ich schon hingewiesen. Die Antwort darauf war Schweigen im Wald. Viel Glück.

Ich lese, dass ich Deinen und andere Ratschläge gelesen, umgesetzt und mich dafür bedankt habe.
Ich bin hier nicht um zu trollen oder mich trollen zu lassen, ich möchte hier ein Problem lösen.

Zitat von ckd

Das ist nicht rein zufaellig eine 3CX, die du da betreiben moechtest?

Nein das ist eine Asterisk auf Debian von einem deutschen Anbieter mit Custom UI

Zitat von NaN

Zeig die Regeln. Es gibt genug Möglichkeiten, was falsch zu machen, dass "DNS 53 & NTP 123 UDP rein und raus" praktisch gar nichts sagt. Hast du deine IP-Adressen statisch konfiguriert oder nutzt du DHCP, wie es voreingestellt ist? Dann hast du mit den oben gezeigten Regeln und aktiver Firewall gar keine Adresse.

Du kannst dich mit der VNC-Konsole im ServerControlPanel auf deinen Server einloggen, ohne dass das Netzwerk funktioniert. Dann hast du die Sicht auf die Innenseite der Firewall und kannst z.B. mit tcpdump anzeigen lassen, was zu deinem Server durchkommt. Es kann wie schon erwähnt auch hilfreich sein, die Firewall noch nicht zu aktivieren und erstmal die Verbindungen anzuschauen, die dein System dann macht. Das gibt dir eine Vorstellung davon, welche Adressen und Ports lokal und remote im Spiel sind.

Du musst mehr gucken und weniger versuchen, alles auf einmal richtig zu raten.

Wo ist der Unterschied, ob ich eine IP über DHCP beziehe oder statisch vergebe, kann ich Dir sagen, es gibt keinen. Die Anlage ist unter den angegebenen Adressen erreichbar und natürlich habe ich die Werte statisch gesetzt.

Nochmal ganz langsam:

Die Adressen und Ports stehen dort oben, da gibt es nicht zu raten.
Die Anlage funktioniert zu 100% wenn ich die Firewall ausschalte.
Wenn ich eine Anlage hier hinter einer Firewall / Router, egal ob BSD, Draytek, Fortinet, Fritz.Box etc. pp. laufen habe, brauche ich gar keine Konfiguration und es funktioniert, außer ich möchte Geräte vom WWW einbinden, dann muss ich die UDP-Ports 5060 oder 5061 auf die Anlage forwarden.

Ich betreue seit 30 Jahren komplexe IT-Infrastrukturen, ich habe i.d.R. weitaus schwierigere Konstellationen laufen.

Wenn Du mir nicht helfen willst. ist das Dein gutes Recht, aber hör auf mir so einen Unsinn von DHCP etc. zu erzählen.

In einer "normalen" Firewall kann ich einen Dienst frei geben, meinetwegen HTTPS und dann den Rest blocken, ich würde auf die GUI kommen.

Aber egal wie ich hier HTTPS freigebe:

IPV6 eingeschaltet:
Allow / income / TCP / Source / Mein_IPv6_Präfix::, Mein_IPv6_Präfix::/64 oder Mein_IPv6_Präfix::/128 / Source Port / * / Destination / NETCUP_IPv6_Präfix::5060, NETCUP_IPv6_Präfix::/64 oder NETCUP_IPv6_Präfix:: / Destination Port / * oder 443

und / oder bei abgeschaltetem IPv6 nur:

Meine_IPv4_Adresse:
Allow / income / TCP / Source / Meine_Meine_IPv4_Adresse, Meine_IPv4_Adresse/32 / Source Port / * / Destination / NETCUP_IPv4, NETCUP_IPv4/32 / Destination Port / * oder 443

Ich komme nicht mehr auf die GUI https://[NETCUP_IPv6_Präfix::5060]:443 / https://netcup_ipv4

Also muss die Firewall spezielle Einstellungen benötigen, welche ich bisher übersehe.

Zitat von SiebenG

Ergibt so keinen Sinn. Falls die Geräte ID angegeben wird (hier 0000:0000:0000:5060) dann einfach die Netzmaske weglassen (zur Not /128), oder falls das ganze Netzwerk gemeint ist, dann NETCUP_IPv6_Präfix::1/64.

5060 Sieht auch verdächtig nach einem SIP Port aus, vielleicht ging Dir da was durcheinander?

Die 5060 ist die IPv6-Adresse, ich vergebe gerne meinen Servern die IP-Adressen, welche der Dienst i.d.R. als Port nutzt.
Mit Port also NETCUP_IPv6_Präfix::5060:5060

NETCUP_IPv6_Präfix::1/64 wäre inkorrekt, das ist nicht das Netz sondern die IP 1 am Ende. das Netz schreibt man NETCUP_IPv6_Präfix::, NETCUP_IPv6_Präfix::/64 ode NETCUP_IPv6_Präfix::/128.

Zitat von NaN

Da muss nicht dein Präfix stehen sondern die ganze Adresse, oder /64 statt /128, wenn du dein Subnetz freigeben möchtest.

Firewalls mit Outgoing default-drop sind ein Thema für Fortgeschrittene. Fang erst mal ohne Outgoing Regeln an, dann schaltet die Firewall in der Richtung auf Durchzug. Das ist insbesondere für UDP wichtig, weil bei Netcup die Firewall für UDP nicht stateful ist. Es reicht also für UDP nicht, Pakete reinzulassen, um die Gegenrichtung automatisch zu erlauben. Wenn es Outgoing Regeln gibt, wird per default alles gedropt: Nur was du explizit rauslässt geht auch raus.

Du lässt deinen SIP-Provider nur per TCP auf IPv4 rein, nicht per UDP auf IPv4. Bau die Firewall langsam auf, damit sowas nicht übersehen wird. Du kannst dir die laufenden Verbindungen auf deinem Server mit netstat oder ss (für socket statistics) ansehen und dann z.B. die Outgoing Regeln danach aufbauen. (Beide Tools haben wichtige und erklärungsbedürftige Optionen, also mal in die man pages gucken.)

Das Problem bei dieser Firewall ist ja, dass ich eben nicht mal eben langsam aufbauen kann mit z.B. HTTPS und SSH zu meinem Netz freigeben, da in dem Moment, wo ich eine Policy aktiviere, alles andere ja sofort gedroppt wird, inklusive DNS, NTP, Mail & Co.
Ohne DNS / Alias ist das Ganze noch schwieriger.

Ich habe IPv6 ausgeschaltet. DNS 53 & NTP 123 UDP rein und raus freigegeben und TCP Port * von meinem Netz zugelassen auf die netcup IP, weder Webinterface noch SSH sind erreichbar.

Es gibt eigentlich nichts zum Raten:
Telefonanlage läuft bei netcup:

1. NETCUP_IPv4_Adresse
2. NETCUP_IPv6_Präfix::5060/64
3. SIP_Provider_IPv4 & 6
4. Mein lokales Netz Mein_IPv4 & 6_Präfix::/64

Managen möchte ich das natürlich aus meinem Netz, also:

• Mein_IPv4 & 6_Präfix::/64, TCP HTTPS 443
• Mein_IPv4 & 6_Präfix::/64, TCP SSH

Endgeräte:

• UDP SIP 5060 & 5061 aus meinem Netz sowie aus dem WWW

Sprachkanäle:

• UDP 10000-20000

Wenn die Firewall aus ist bzw. auf Standard seht (bis auf Mail), funktioniert die Anlage einwandfrei

Endgeräte verbinden, Trunk verbindet, Gespräche werden mit hin- und Rückkanal aufgebaut

Wenn ich die Firewall anschalte, geht manchmal noch das Webinterface, auch manchmal noch der Trunk und vielleicht noch ein oder mehrere Endgeräte, die sich registrieren, aber es werden auf keinen Fall Gesprächskanäle aufgebaut.

Die Regeln 13 bis 18 sind m.E. falsch, da gehört die Portnummer in die Spalte Src Ports. DNS scheint mir auch nicht richtig, das läuft doch normalerweise über UDP. Und Regeln für NTP fehlen vermutlich auch.

Habe:

DNS auf UPD gesetzt

123 UDP Out für NTP zugefügt

Outgoing Ports auf Source gesetzt

/128 mit /64 ersetzt

Mein_IPv6_Präfix::/128 (jetzt 64) oder Mein_IPv6_Präfix::5060 ergibt ja das Netz oder die Adresse

UDP eingehend vom SIP-Provider gelöscht

Leider klappt es noch nicht

Outgoing habe ich ja meines Erachtens komplett abgefrühstückt, wobei ich den Eindruck habe, Source und Dest Port * mag er nicht, ich habe jetzt noch mal explizit meine IPv4 & meine IPv6 mit destination 443 angelegt und die GUI bleibt stabil

dann habe ich ausgehend UDP Ipv4 & 6 (jetzt) source port 5060, 5061, 10-20k gesetzt

und

dann habe ich eingehend UDP Ipv4 & 6 source port 5060, 5061, 10-20k gesetzt

Immerhin verbinden sich jetzt die Endgeräte und der Trunk, aber Anrufe gehen noch nicht sauber raus, VOIP ist halt kein Spaß^^

Aber bis hierher schonm einmal danke

Hallo Gemeinde,

ich versuche meine Telefonanlage mit der Firewall zu schützen.

1. Von meinen IPv4 & IPv6 sollen alle Ports (erst einmal) erreichbar sein
2. 5060, 5061 und 10000-20000 müssen aus dem Internet erreichbar sein für VOIP
3. Der SIP-Provider soll auch (vorerst) auf alle Ports zugreifen dürfen
4. Später soll noch die GUI des Anlage erreichbar sein

Nach meinem dafürhalten habe ich alle Ports korrekt eingetragen, aber, es funktioniert nicht, wo mache ich den Fehler?

Ich habe IPv6 auch ohne /128 und mit /64 probiert