NAT, STUN und entfernte SIP-Nebenstellen

Drei verschiedene Probleme, meist auf eines geschoben – was sollten Sie wissen?

„Das entfernte Telefon funktioniert nicht“ deckt mindestens drei verschiedene Fehler ab, und sie haben unterschiedliche Behebungen:

• Die PBX steht hinter NAT und entfernte Endgeräte finden sie nicht.
• Das Telefon steht hinter NAT und die PBX kann keine Medien dorthin zurücksenden.
• Beide stehen hinter NAT, was beides kombiniert und wo üblicherweise einseitiges Audio auftritt.

Um herauszufinden, welcher der drei Fälle vorliegt, genügt eine Frage: Kann sich das Telefon überhaupt registrieren? Scheitert die Registrierung, liegt das Problem beim Finden der PBX. Gelingt die Registrierung, läuft das Audio aber nur in eine Richtung, liegt das Problem in der Adressumsetzung auf dem Medienpfad.

Weg eins: Punch-through, den das Handbuch zuerst empfiehlt – was sollten Sie wissen?

Die PBX enthält einen NAT-Traversal-Dienst, der als bevorzugte Methode beschrieben wird. Ist er aktiviert, erzeugt das Gerät eine eigene Punch-through-Domain, gebildet aus einem Sicherheitszugangscode und den letzten sechs Zeichen der MAC-Adresse des Geräts, auf Port 5090. Das entfernte Telefon registriert sich dann auf diesen Domainnamen statt auf eine öffentliche IP-Adresse.

Daraus folgen zwei Dinge. Erstens muss das Objekt keine öffentliche IP für die PBX veröffentlichen oder pflegen, und es ist keine Portweiterleitung nötig. Zweitens ist die Domain an das Gerät gebunden, sodass ein Hardwaretausch die Adresse ändert – eine Änderung, die man einplant, statt sie zu entdecken.

Weg zwei: Port-Mapping, wenn die Richtlinie es verlangt – was sollten Sie wissen?

Port-Mapping bedeutet, dass der Router vor der PBX den Verkehr an sie weiterleitet. Drei Details entscheiden, ob es funktioniert:

• Die PBX muss eine feste IP-Adresse auf ihrer WAN-Schnittstelle haben, keine DHCP-Zuweisung, sonst zeigt die Weiterleitungsregel irgendwann auf nichts.
• Sie müssen den SIP-Signalisierungsport ebenso wie den RTP-Bereich weiterleiten. Der Standard-RTP-Bereich ist 10010 bis 10266, und jedes Gespräch belegt zwei Ports – einen für RTP und einen für RTCP –, sodass vier gleichzeitige Gespräche acht offene Ports brauchen.
• Externe Ports intern auf dieselben Nummern abzubilden erspart später eine ganze Problemklasse. Wo die öffentliche Adresse dynamisch ist, hat die PBX integrierte DDNS-Unterstützung, und das Handbuch listet die Anbieterdienste, die sie aktualisieren kann.

Kann das Objekt weder eine feste Adresse noch eine Punch-through-Domain veröffentlichen, halten Sie die entfernten Telefone in einem VPN. OM20G und OM50G führen einen integrierten OpenVPN-Client, und das Handbuch ist eindeutig zu dessen Zweck: SIP-Trunks mit einem Server in einem privaten Netzwerk verbinden, mit der Zertifikatsdatei als client.ovpn. Es ist kein Allzweck-Fernzugriffs-VPN für Mobilteile.

STUN und die zwei Header, die einseitiges Audio beheben – was sollten Sie wissen?

STUN ist auf der Plattform standardmäßig aktiviert, nutzt Port 3478 und aktualisiert in einem Standardintervall von 60 Sekunden innerhalb eines Bereichs von 30 bis 65535 Sekunden. Es bietet zwei Verhaltensweisen: erneut beim SIP-Server registrieren oder erneut registrieren und die NAT-Adresse aktualisieren. Die zweite ist die richtige Wahl, wenn sich die öffentliche Adresse des Objekts ändert.

Läuft das Audio nur in eine Richtung, ist die Behebung meist gar nicht STUN, sondern zwei Adresstyp-Einstellungen am SIP-Trunk oder an der Nebenstelle:

• Adresstyp des SIP-Contact-Headers – auf LAN oder WAN.
• Adresstyp der SDP-Verbindung (c=) – auf LAN oder WAN.

Diese beiden Einstellungen entscheiden, welche Adresse die PBX in ihre Signalisierung und ihre Medienbeschreibung schreibt. Verdreht man sie, baut das Gespräch einwandfrei auf und überträgt in eine Richtung kein Audio. Entfernte Nebenstellen sollten außerdem die automatische Servererkennung aktiviert haben, damit eingehende Anrufe korrekt ankommen, während das Telefon unterwegs ist.

Mobilfunkstrecken und widerspenstige Netzwerke – was sollten Sie wissen?

Steht die PBX hinter einem Mobilfunkrouter, ergänzt die Plattform vier Optionen für den 4G-NAT-Betrieb, von vollständiger Behandlung bis zu einem Modus, der weder SIP- noch SDP-Adressen aktualisiert. Objekte an einer Mobilfunkstrecke sollten beide Sprechrichtungen vor der Inbetriebnahme testen und beachten, dass nur der OM20G ein 3G- oder 4G-USB-Modem für abgehende Gespräche annimmt – der OM50G unterstützt ausdrücklich keines.

Auf der LAN-Seite ist der Fernzugriff nicht die einzige Sicherheitsfrage. Die PBX unterstützt 802.1X-Portauthentifizierung, eine Anmeldesperre, die standardmäßig nach sechs Fehlversuchen pro Tag mit zehnminütiger Sperre greift, eine Zugangs-Whitelist von bis zu 20 Adressen sowie Optionen zur Verschlüsselung von SIP-Signalisierung und Sprachdaten. Nichts davon ersetzt ein durchdachtes Netzwerkdesign, aber es schließt die offensichtlichen Türen.

Checkliste für eine entfernte Nebenstelle

• Registrierung: Serveradresse, Port (standardmäßig 5060), Benutzername, Authentifizierungspasswort. Zusätzlich muss die Registrierung am Telefon selbst aktiviert und der Zustand auf der IP-Nebenstellen-Seite der PBX geprüft werden.
• Eingehendes Audio: automatische Servererkennung an, Adresstypen für Contact und SDP passend zum Pfad.
• Abgehendes Audio: STUN aktiviert mit dem Verhalten „NAT-Adresse aktualisieren“, und der RTP-Bereich durchgehend offen.
• Alles Übrige: dieselbe Codec-Reihenfolge und derselbe DTMF-Modus wie im restlichen System, damit sich interne und entfernte Gespräche gleich verhalten.

Testen Sie von außerhalb des Gebäudes, in beide Richtungen, mit dem Telefon in der Netzwerkart, die es tatsächlich nutzen wird. Ein Mobilteil, das im Büro-WLAN getestet wurde, beweist nichts über dasselbe Mobilteil an einem Heimanschluss.