Sie haben oder wollen eine SIP Telefonanlage mit einer Sophos SG UTM Firewall mit einem A1 (Telekom Austria) SIP Trunk Anschluss betreiben. In diesem Artikel beschreibe ich wie Sie eine eine Sophos SG UTM Firewall dazu konfigurieren müssen wenn Ihr Netzwerk segmentiert ist.

Lösung

In diesem Beispiel ist der SIP Provider die A1 Telekom (Österreich). Die Anleitung spezialisiert sich nicht auf eine spezielle Telefonanlage selbst, sondern nur auf die Einstellungen die Sie auf der Firewall vornehmen müssen. Es ist möglich, dass Ihre Telefonanlage zusätzlich andere Ports benötigt, beispielsweise zum Hersteller. Diese müssen Sie daher wenn erforderlich ergänzen. Die Konfiguration der Telefonanlage wird in diesem Artikel nicht behandelt.

Allgemeines

Für SIP Telefonanlage/Clients zu beachten:

• Clients (Sofware Telefonie Clients) und echte physische Telefonapparate sowie Telefonie Anlage (PBX) sollten in eigenen VLANs sein. Leider aus „Hersteller-Sicht“ ist eine VLAN-Implementierung nicht die bevorzugte Variante. Einige Provisioning Features diverser Hersteller (das ist die automatisierte Übertragung der Einstellungen und Konfiguration auf die Endgeräte) werden in segmentierten Lösungen nicht vorhanden sein sobald die Apparate innerhalb des vorgesehenen (segmentierten) VLANs sind. Daher werden Sie die Apparate möglicherweise während des Rollouts im Client- oder Telefonanlagen VLAN verweilen lassen müssen und können erst nach Provisionierung in das vorgesehende VLAN wechseln können. Damit muss man leider leben. Genau weiß das Ihr Lieferant der Telefonanlage.
• Diverse VOIP oder SIP Helper auf der Firewall, müssen meist deaktiviert werden (das hängt von der Telefonanlage ab).
• Die Installation setzt (aufgrund der Remote Verbindungen von externen Telefonen, Handy app etc..) je nach SIP Provider möglicherweise eine DNS-A Registrierung voraus, zb. voip.kunde.at. Bei A1 ist das aktuell nicht der Fall.
• Die Telefonanlage sollte immer von der registrierten IP „nach extern“ sprechen, daher eine generelle S-NAT mit der „externen voip ip“ nicht vergessen. Auch das ist bei A1 nicht der Fall, lasse ich aber der Vollständigkeit halber dennoch stehen.
• Die Zugangsdaten für Ihre SIP Telefonanlage sind auf Ihrem A1 Datenblatt.

Für Sopohs SG Firewall zu beachten:

• VOIP/SIP/ALG Helper deaktivieren
• UDP Flood Ausnahme für Ziele/Quelle der Telefonie Netze (sofern IPS aktiv)
• Bei aktiven WebFilter, Telefonanlagen IP aus Quelle und Ziel ausschließen, https Verbindungen in Policies direkt verwalten
• Country Block Außname für die Ports zur SIP Telefonanlage, für zumindest AT (sofern externe SIP IP vorhanden, dzt. bei A1 nicht der Fall)

Zur A1 SIP Lösung (derzeit):

A1 liefert einen eigenen Router für die SIP Verbindung. Die Firewall muss so konfiguriert werden, dass SIP Datenverkehr über diesen Router läuft. Der A1 Router ist ausschließlich für SIP Daten bestimmt und ist kein "Internet Router", somit also auch kein Default Gateway. In diesem Beispiel gehen wir von 3 VLANs aus. Der A1 Router hat (derzeit) meistens die IP 192.168.0.254/24 und einen aktivierten DHCP Bereich (daher aufpassen, nicht einfach in Ihr LAN hängen). Die genauen IP Adressen finden Sie im A1 Datenblatt. Die VLANs zu den einzelnen Netzwerk Segmenten können entweder auf der Firewall jeweils auf einer Schnittstelle (ETHxy) oder innerhalb eines LACP Trunks (LAGxy) angelegt werden. Um es realistisch und einfach zu gestalten sind in diesem Beispiel alle VLANs im LAG0 und wir nennen die VLANs:

Überblick der A1 SIP Daten:

A1 SIP IP Netz 1: 193.81.5.0/24 (255.255.255.224)
A1 SIP IP Netz 2: 193.81.7.0/24 (255.255.255.224)
SIP Registrar/Proxy/Domain siptrunk.a1.net

Basis Konfiguration:

Switch Konfiguration

Am Beispiel mit HPE Aruba Switch
Verbinden Sie sich mit telnet oder ssh auf Ihre Switches. Im "menu" (Switchabhängig unter 2,8,2 oder 2,7,2) legen Sie die VLANS 5,6, und 7 mit entsprechenden Namen an.
Im Menü 2,8,3 (oder 2,7,3) stellen Sie alle Ports, welche die Switches untereinander verbinden auf "tagged" für die VLANS 5,6,7.
Ports Ihrer Endgeräte (Apparate) und jener auf welchem die A1 SIP Firewall hängt, stellen sie auf untagged im VLAN 5.
Der Port Ihrer SIP Telefonanlage ist höchstwahrscheinlich untagged im VLAN 6. Sollte ihre Telefonanlage getaggte Verbindungen verwenden, dann auf tagged im VLAN 6.

Firewall Schnittstellen Konfiguration

Interfaces & Routing - Interfaces

Erzeugen Sie eine Schnittstelle für alle 3 VLANs in diesem Beispiel:

Hinweis: Auf dem A1 SIP Router erfolgt die Switch Verbindung derzeit auf dem Port E2.

Firewall Netzwerk Definitionen

Definitions & Users - Network Definitions

Firewall Service Definitionen

Definitions & Users - Service Definitions

Statische Routen

Interfaces & Routing - Static Routing

Firewall Regeln

Interfaces & Routing - Static Routing
Tipp: Ich empfehle Ihnen auch das Logging in jeder Regel einzuschalten.

NAT Regeln

Network Protection - NAT

Hinweis:
Anstelle einer SNAT Regel können Sie der A1 auch Ihre internen Telefonie Netzwerke bekanntgeben (in unserem Beispiel 192.168.6.0/24 und 192.168.7.0/24). Die A1 kann diese Netze über Ihre Firewall IP (192.168.0.253) als Gateway erreichen. In diesem Fall müssten Sie die SNAT Regel nicht erstellen. Eine SNAT Regel kann durchaus manche Telefonanlagen stören. Es kommt tatsächlich auf Ihre Anlage darauf an ob es mit oder ohne SNAT funktioniert.