Digitalisierungsbox NFON Port Weiterleitung / denied

[#1]

Hallo zusammen (:

Wir haben eine Digitalisierungsbox Premium. Nebenbei haben wir ein DigitalPhone-Konto von O2 / NFON (ist dasselbe). Telefone werden über NFON automatisch provisioniert. Telefonieren klappt aber die Besetzfeldlampen funktionieren nicht richtig.

Grund scheint folgender zu sein, dass die Box eingehende Verbindungen blockt:

 Information    INET    NAT: denied incoming session on ifc 30010001 prot 17 meinefesteIP:62849 <- 109.68.97.120:6050

Also versuche ich eine Portweiterleitung und scheitere natürlich dran. Sämtliche Anleitungen hier (Webcam, Brandmeldeanlage) die gefunden werden, funktionieren leider nicht.

Anbei ein paar Screenshots. Firewall habe ich natürlich auch schon zurückgesetzt.

Nein ich habe keinen Assistenten zum Einrichten von NFON in der Box da die Anlage als PBX konfiguriert ist. Würde es denn gehen einen eigenständigen Account von NFON der nicht von der Deutschen Telefon kommt in der Box zu hinterlegen und falls ja hat jemand dazu eine genaue Anleitung?

Der Support kann oder wollte mir bisher nicht weiterhelfen.

[#2 · Accepted solution]

Hallo @smcgmbh1,

---

Die Deutsche Telekom vertreibt ja die Box mit NFON selbst aber kann und will mir anscheinend nicht helfen. Ich brauchte gestern über eine Stunde (!) in der Warteschlange bis ich einen am Telefon hatte der auch keine Ahnung hatte. Technischer Support mit Digitalisierungsboxen geht gen Null als Geschäftskunde -.-

---

Gerne möchte ich Ihnen weiterhelfen. Für die NFON Produkte die über die Telekom vermarktet werden, gibt es einen Assistenten in der Digitalisierungsbox. Es ist dabei erforderlich, die Digitalisierungsbox als Mediagateway zu konfigurieren. Eine Einrichtung, mit einer als PBX konfigurierten Digitalisierungsbox, wird nicht unterstützt.
Da Sie das Produkt über einen Mitbewerber bezogen haben, kann ich Ihnen allerdings nicht sagen, ob die Spezifikationen gleich sind und welche Voraussetzungen dieses Produkt hat.

Testen Sie es einfach mal mit dem Assistenten.

Gruß Jörg D.

[#3]

@smcgmbh1

Das kann so ja auch gar nicht funktionieren. Zum einen zeigt Deine Log-Meldung den Quellport 6050 und Du konfigurierst alles für den Port 5060 = sip. Und zum anderen klappt eine Portweiterleitung mit IPv4 für einen bestimmten Port auch nur für ein Netzwerkgerät aber nicht mehrere.

[#4]

Portweiterleitungen sind keine notwendig, sondern ich vermute mal das die Session-Timeout-Zeiten zu kurz sind.

Man könnte NFON wahrscheinlich auch in der DigiBox als SIP - Konto registrieren, wenn man sich die Daten für eine "inkompatible Nebenstelle" bei NFON anfordert.

Ich habe keine Erfahrungen mit NFON.

[#5]

---

@Micknik schrieb:

@smcgmbh1

Das kann so ja auch gar nicht funktionieren. Zum einen zeigt Deine Log-Meldung den Quellport 6050 und Du konfigurierst alles für den Port 5060 = sip. Und zum anderen klappt eine Portweiterleitung mit IPv4 für einen bestimmten Port auch nur für ein Netzwerkgerät aber nicht mehrere.

---

vollkommen richtig. War mein Fehler und hab ich abgeändert auf Port 6050. Hat gestern dann prompt funktioniert. Heute geht gar nichts mehr und jegliche eingehende Verbindung via Port 6050 wird wieder geblockt von der Firewall. Auch wenn ich auf any stelle wird alles in Richtung der Gruppe oder einzelnen Clients geblockt.

Timeout habe ich schon wie empfohlen von NFON auf 125 Sekunden hochgestellt.

Die Deutsche Telekom vertreibt ja die Box mit NFON selbst aber kann und will mir anscheinend nicht helfen. Ich brauchte gestern über eine Stunde (!) in der Warteschlange bis ich einen am Telefon hatte der auch keine Ahnung hatte. Technischer Support mit Digitalisierungsboxen geht gen Null als Geschäftskunde -.-

NFON selbst gibt auch keine weiteren Daten raus (geht an den zweite Post)

[#6]

@smcgmbh2

Wie schon geschrieben, das kann grundsätzlich nicht funktionieren mit den Port-Weiterleitungen. Die kannst Du alle löschen.

[#7]

btw es gibt zwei Benutzer von mir hier deswegen nicht wundern. Ist in der Firma so angelegt worden.

Ich mach jetzt erstmal neue Screenshots!

Eingerichtet nach folgender Anleitung: http://digitalisierungsbox.bintec-elmeg.com/standard-externer-zugriff-auf-webserver-webcam/

Das blau unkenntlich gemacht ist meine feste IP.

Ich kann in der NAT-Konfiguration auch die externe IP der Quelle angeben (ist immer derselbe Server) aber das ändert nichts.

In den Diensten habe ich einen allgemeinen Dienst für den Port angelegt (DigitalPhone) und auch für jedes Telefon einzeln noch einmal einen Dienst um es so und so zu testen.

Bei den Adressen gibt es für jedes Telefon eine einzelne Adresse und zudem eine Gruppe mit sämtlichen Telefonen um es auch so und so zu testen.

In den Richtlinien war es gestern so aktiviert wie heute und funktionierte ohne Probleme. Die Richtlinie besagt, dass auf die Gruppe Yealink (alle Telefone) der Zugriff gewährt wird.

Heute habe ich dann noch die zusätzlichen Yealink-Richtlinien angelegt um zu testen ob es funktioniert wenn ich für jedes Telefon einzeln den Zugriff gewähre. Zudem habe ich es auch mit der Richtlinie any versucht.

Sämtliche Inaktivitäten und Timeouts habe ich schon versucht massiv zu ändern. Nicht nur auf die Empfehlung von NFON sondern auch weit darüber.

Vllt übersehe ich wirklich was oder habe noch einen Fehler drin. Ich seh mittlerweile den Wald vor lauter Bäumen nicht mehr

[#8]

"andere Inaktivität" in der Firewall steht auf 30 Sekunden. Das würde ich mal hochsetzen.

[#9]

hab ich schon versucht. Bringt leider auch keine Besserung 😕

Das Komische ist ja, dass es gestern reibungslos, nachdem du mich auf den Fehler mit 5060 hingewiesen hast und ich es geändert habe, funktioniert hat und heute absolut  nichts mehr geht. Es hat ja keiner was dran geändert.

[#10]

@smcgmbh2

Du bist hier vollkommen auf dem Holzweg. Du brauchst überhaupt keinerlei Port-Weiterleitungen. Das, was Du da konfiguriert hast, ist sowieso vollkommen falsch. Deine Meldung:

Information    INET    NAT: denied incoming session on ifc 30010001 prot 17 meinefesteIP:62849 <- 109.68.97.120:6050

6050 ist hier der Quellport und Du konfigurierst das als Zielport.

Aber die Korrektur dieses Fehlers bringt Dich auch nicht weiter, Port-Weiterleitung bei IPv4 für einen einzigen Port und mehrere Zielgeräte geht nicht.

[#11]

Inwiefern ist das falsch? 6050 ist der Quellport und muss ebenso zu den Telefonen weitergeleitet werden da die Telefone über Port 6050 ausgehend kommunizieren (was auch im Log ersichtlich ist)-

Ohne Portweiterleitung funktioniert es gar nicht.

 EDIT //

Oder brauche ich nur die Richtlinie in der Firewall ohne NAT-Konfiguration?

[#12 · Accepted solution]

Hallo @smcgmbh1,

---

Die Deutsche Telekom vertreibt ja die Box mit NFON selbst aber kann und will mir anscheinend nicht helfen. Ich brauchte gestern über eine Stunde (!) in der Warteschlange bis ich einen am Telefon hatte der auch keine Ahnung hatte. Technischer Support mit Digitalisierungsboxen geht gen Null als Geschäftskunde -.-

---

Gerne möchte ich Ihnen weiterhelfen. Für die NFON Produkte die über die Telekom vermarktet werden, gibt es einen Assistenten in der Digitalisierungsbox. Es ist dabei erforderlich, die Digitalisierungsbox als Mediagateway zu konfigurieren. Eine Einrichtung, mit einer als PBX konfigurierten Digitalisierungsbox, wird nicht unterstützt.
Da Sie das Produkt über einen Mitbewerber bezogen haben, kann ich Ihnen allerdings nicht sagen, ob die Spezifikationen gleich sind und welche Voraussetzungen dieses Produkt hat.

Testen Sie es einfach mal mit dem Assistenten.

Gruß Jörg D.

[#13]

---

@Jörg D. schrieb:
Hallo @smcgmbh1,

---

Die Deutsche Telekom vertreibt ja die Box mit NFON selbst aber kann und will mir anscheinend nicht helfen. Ich brauchte gestern über eine Stunde (!) in der Warteschlange bis ich einen am Telefon hatte der auch keine Ahnung hatte. Technischer Support mit Digitalisierungsboxen geht gen Null als Geschäftskunde -.-

---

Gerne möchte ich Ihnen weiterhelfen. Für die NFON Produkte die über die Telekom vermarktet werden, gibt es einen Assistenten in der Digitalisierungsbox. Es ist dabei erforderlich, die Digitalisierungsbox als Mediagateway zu konfigurieren. Eine Einrichtung, mit einer als PBX konfigurierten Digitalisierungsbox, wird nicht unterstützt.
Da Sie das Produkt über einen Mitbewerber bezogen haben, kann ich Ihnen allerdings nicht sagen, ob die Spezifikationen gleich sind und welche Voraussetzungen dieses Produkt hat.

Testen Sie es einfach mal mit dem Assistenten.

Gruß Jörg D.

---

Nicht das wir uns falsch verstehen. Ich möchte keineswegs NFON in der Digibox als SIP-Anbieter eintragen, da ich dann sonst nicht mehr alles über meinen Account verwalten kann (dort sind auch mehrere Außenstellen hinterlegt).

Die Digibox soll ausschließlich die Internetverbindung herstellen und als Router fungieren und eben jene Adresse nicht mehr abweisen. Das ist alles. Leider hat mich die Deutsche Telekom auch beim vereinbarten Rückruf gestern nicht angerufen und heute wurde ich wieder vertröstet.

Ich will nur, dass die Digibox diese Adresse nicht mehr blockt und fertig. Dann würde alles funktionieren.

EDIT //

Was sehr kurios ist: Seit gestern Mittag hat alles funktioniert und das dauerhaft. Seit heute früh geht es wieder nicht mehr. Wie kann das sein? Wie kann es sein dass der Router mal etwas blockt und mal nicht, wenn absolut nichts an der Config geändert wird?? Selbst die geblockte Adresse ist immer dieselbe. Es ändert sich ja absolut nichts. Es muss also an der Digibox liegen.

[#14]

Die Ursache hat nichts damit zu tun das die DigiBox etwas blockt, sondern ich bin davon überzeugt das es eher mit einem Session-Timeout oder einer geänderten IP-Adresse (extern) zu tun hat.

Wie schon geschrieben wurde, braucht man für NFON keine Portfreigaben.

Das Telefon baut die Verbindung auf und registriert sich beim Anbieter. Diese Registrierung muss dann durch das Telefon aktiv gehalten oder bei einer Unterbrechung wieder neu aufgebaut werden.

[#15]

---

@Kalle2014 schrieb:

Die Ursache hat nichts damit zu tun das die DigiBox etwas blockt, sondern ich bin davon überzeugt das es eher mit einem Session-Timeout oder einer geänderten IP-Adresse (extern) zu tun hat.

---

Eine Idee wie man das noch ändern könnte? Sämtliche auffindbaren Timeouts habe ich schon hochgesetzt bis auf 999 Sekunden.

Gibts in der Digibox auch noch einen snmp-browser wie in den älteren Bintec-Modellen? Ggf. gibts da ja noch andere Timeouts einzustellen.

[#16]

Den snmp Browser hat die Telekom leider abschalten lassen.

Diesen gibt es nur bei der bintec be.IP plus.

Zuständig ist wahrscheinlich die Variable ipExtIfNatOtherTimeout.

Vielleicht kann aber auch Yealink bzw. NFON etwas dazu sagen, wie man über das Telefon verhindert das der Timeout - Fall eintrifft.

[#17]

Guten Morgen @smcgmbh1,

---

Nicht das wir uns falsch verstehen. Ich möchte keineswegs NFON in der Digibox als SIP-Anbieter eintragen, da ich dann sonst nicht mehr alles über meinen Account verwalten kann (dort sind auch mehrere Außenstellen hinterlegt).

---

Haben Sie die Digitalisierungsbox denn schon einmal als Mediagateway konfiguriert und dann mit dem NFON Assistenten probiert?

Wie ich schon schrieb, wird das von der Telekom vertriebene NFON Produkt nur auf diesem Weg unterstützt.

Wie das bei Ihrer NFON Variante aussieht, kann ich Ihnen nicht sagen. Haben Sie schon einmal bei Ihrem Provider oder NFON nachgefragt?

Gruß Jörg D.

[#18]

also ich habe nun von NFON Rückmeldung erhalten.

Sie konnten dasselbe nachvollziehen wie ich und meinten, dass der Port ständig wechselt. Das deutet auf Port-Flapping hin und wohl, dass das UDP-Timeout nicht ausreichend eingestellt sein. Ist aber genau nach der Empfehlung von NFON eingestellt (danke hier schon mal an Kalle für seine Vermutung!).

Laut NFON scheint es direkt Probleme mit der Firmware der Telekom zu geben. Einen anderen Router habe ich leider nicht zum gegentesten hier.

Liebe Telekom: wie können wir also nun dieses Problem lösen? Ich warte mittlerweile seit zwei Tagen (!) auf einen FEST VEREINBARTEN Rückruf vom Digibox-Team und werde dauernd an der Hotline abgewiesen, dass man da warten muss (der Termin war fest vereinbart!!)

Es muss eine Einstellungsmöglichkeit im Router selbst geben, wenn ihr doch die Digibox samt NFON auch vertreibt oder nutzt ihr dort wieder eine etwas abgewandelte Firmware?

Wo kann ich das Timeout dafür richtig einstellen? Unter den Firewall-Einstellungen habe ich schon alles durch. SNMP-Browser gibt es nicht mehr, sonst könnte ich es dort ändern.

Wenn ich die Digibox im Übrigen als MGW einrichten will, provisioniert sie mehr als vier Stunden lang ohne Ergebnis (zweimal heute gemacht). Musste sie zurücksetzen und die Config wieder einspielen, da wir hier weiter arbeiten müssen.

[#19]

@smcgmbh2

Warum funktioniert es denn dann bei anderen problemlos mit der Digibox und NFON? Du hast ja selbst in die anderen threads dazu einen Beitrag geschrieben.

Meiner Meinung nach doktorst Du nur an den Symptomen herum anstatt mal die Ursache zu suchen. Am Timeout liegt es sicherlich nicht, funktioniert bei den anderen ja damit.

Leider lieferst Du hier keinerlei brauchbare Infos. Firmware-Version, Netzwerk-Geräte zwischen Digibox und Telefonen, VPN Setup, Fehlermeldungen laut Syslog, usw.

Wenn ich meine Glaskugel befrage, tippt sie auf das VPN als Ursache.

[#20]

Firmware ist aktuell. Netzwerkgeräte hängen keine oder ein managed Switch dazwischen. Geht so oder so nicht (tut auch nix zur Sache, wenn die Digibox die eingehenden Verbindungen schon vor allem blockiert).

VPN ist nichts aktiv. Fehlermeldung hab ich im Anfangspost geschrieben (ist nur diese eine Meldung). Mehr wird nicht ausgegeben.

Ja es muss bei anderen natürlich funktionieren (bei der Lösung die die Telekom vorinstalliert) aber wenn man nach NFON (extra Konto nicht Vertrieb durch Telekom) sucht, kommen ein und dieselben Fehler aber eine richtige Lösung hat niemand reingeschrieben.

Ich kann ja nur rumdoktorn und ausprobieren, wenn es nirgendwo im Netz eine plausible Lösung gibt 😄 Ich hab ja alles genauestens beschrieben was ich schon gemacht habe.

[#21]

Wenn man mit einer DigiBox als MGW über den Assistenten eine NFON - Einrichtung macht, wird dabei zumindestens eines sichtbar: Unter Netzwerk -> NAT -> NAT-Konfiguration wurden Einträge für ausgehend (Quell-Nat) mit "full-cone" als NAT-Methode angelegt.

Was mich dabei nur wundert: Im Dialog stehen nicht alle Felder zur Verfügung wie sie in der Übersicht zu sehen sind.  

[#22]

@Kalle2014

Beim full-cone Modus gibt es auch keinen Timeout mehr, da geht es ohne Limit.

[#23]

Ich vermisse in der NAT - Konfiguration auch nicht den Timeout, sondern die Möglichkeit einer Ziel und einer Port - Angabe.

[#24]

@Kalle2014

Das ist die Eigenschaft von full-cone. Wenn Du Parameter angeben willst musst Du symetrisch wählen.

[#25]

---

@Kalle2014 schrieb:

Wenn man mit einer DigiBox als MGW über den Assistenten eine NFON - Einrichtung macht, wird dabei zumindestens eines sichtbar: Unter Netzwerk -> NAT -> NAT-Konfiguration wurden Einträge für ausgehend (Quell-Nat) mit "full-cone" als NAT-Methode angelegt...

---

Ich kann versuchen die Digibox nochmal als MGW am Wochenende einzurichten.  Hat gestern wie gesagt leider nicht funktioniert.

Hast du ggf. einen Screenshot für mich, damit ich das mal genau so nachstellen kann?

Gibt es dabei auch Änderung an den Routen oder der Firewall? Laut einem anderen Thread hat der Bintec-Support bei einer be.ip Routen erstellt.

Also scheint es aber doch etwas mit dem Timeout zu tun haben.

[#26]

siehe Anhang.

So wie es vom Assistenten angelegt wird, kann man es nicht manuell anlegen.