AW: Registrierung snom370 nicht mehr erfolgreich

[#1]

Hallo,

seit ca. 1 Woche funktioniert die Registrierung meines snom370 (mit Speedport W724V) nicht mehr. (Vorher war alles einwandfrei.)

Im Log des snom 370 finde ich folgende Infos:

May 13 19:17:29 [DEBUG1] SIP: route pending packet 1000027: entry=a tls h2-eps-608.edns.t-ipnet.de 5061 all 2
May 13 19:17:29 [DEBUG1] SIP: route pending packet 1000027: entry=tls 217.0.3.244 5061 all 2
May 13 19:17:29 [DEBUG2] SIP: Socket 169/connecting tls:192.168.2.108:1089 -> tls:217.0.3.244:5061
May 13 19:17:29 [DEBUG0] TLS: 0xa0fb00 HandShake Tx: max (invalid) -> idle
May 13 19:17:29 [DEBUG0] TLS: 0xa0fb00 HandShake Rx: max (invalid) -> idle
May 13 19:17:29 [DEBUG0] TLS: 0xa0fb00 HandShake Tx: idle -> client_hello_sent
May 13 19:17:29 [DEBUG2] SIP: Socket 169/connected tls:192.168.2.108:1089 -> tls:217.0.3.244:5061
May 13 19:17:29 [DEBUG2] SIP: Updated Transport 0xa81cc8 TTL 60
May 13 19:17:29 [DEBUG1] SIP: route pending packet 1000027: entry=tls 217.0.3.244 5061 all 2
May 13 19:17:29 [DEBUG1] SIP: Identity connection id tls:217.0.3.244:5061
May 13 19:17:29 [DEBUG0] SIP: Use Connection tls:217.0.3.244:5061 for packet 1000027
May 13 19:17:29 [DEBUG0] SIP: send REGISTER (8: 3934363638343834343138333133-653txj68kh5x) -> tls:217.0.3.244:5061
May 13 19:17:29 [DEBUG2] SIP: Updated Transport 0xa81cc8 TTL 60
May 13 19:17:29 [DEBUG2] SIP: Socket 169/disconnected tls:192.168.2.108:1089 -> tls:217.0.3.244:5061
May 13 19:17:29 [INFO ] SIP: Transaction timeout on packet 1000027 due to transport error
May 13 19:17:29 [NOTICE] SIP: transaction timeout tcp/tls: 1000027
May 13 19:17:29 [ERROR ] SIP: final transaction timeout 1000027 (tls:217.0.3.244:5061 3934363638343834343138333133-653txj68kh5x)
May 13 19:17:29 [NOTICE] SIP: Add dirty host: tls:217.0.3.244:5061 (0 sec)

Wäre super, wenn jemand einen Tipp hat.

Danke im Voraus!

[#2 · Accepted solution]

Danke für den Hinweis, dass der Speedport auch einen trace ziehen kann. Das Feature war mir neu.

Positiv ist, dass auf VDLS deutlich weniger Pakete verschickt werden als im LAN.

In wireshark habe ich gesehen, dass der SIP Server eine 'fatal' Fehlermeldung 'protocol version' zurück liefert.

D.h. im Mai 2018 ist es hier wohl zu einer Änderung der Protokollversion gekommen.

Nach meiner Beobachtung scheinen solche Änderungen alle paar Jahre aufzutreten...

Da mein VoIP Endgerät inzwischen nicht mehr weiter entwickelt wird, bleiben die Optionen

a) ein neues VoIP Endgerät anzuschaffen (regelmässig)

b) Nutzung eines VoIP PBX Service (monatliche Zusatzkosten) 
c) ein analoges Endgerät anzuschaffen (einmalig, geringer Funktionsumfang)
d) ein DECT Endgerät anzuschaffen (einmalig)

[#3]

Den Vorschlag hab ich auch schon gemacht aber offensichtlich ist @Boilermaker nicht so sehr an der Lösungsfindung interessiert, dass er testweise das SNOM in Werkszustand versetzt, um einen Firmwarefehler auszuschließen oder doch ;-)?

[#4]

Also ich habe das Snom 370 in den Werkzustand zurückversetzt und auch einmal die TSL Verschlüssellung abgestellt. Hat an dem Problem nichts geändert. Denke schon sehr das Boilermaker an einer Lösung interessiert ist. Gibt halt keine einfache Lösung. Manchmal denke ich schon dass einige Telekom Trolle hier unterwegs sind...

[#5]

---

@buenni schrieb:

Ggf unterstützt das SNOM nicht den aktuellsten Standard und deswegen klappt es nicht. Nach dem Motto, wenn tls dann nur ganz aktuell, ansonsten nur ohne (für Hardware die kein tls kann) .

damit kannst du dann testen wo das Problem liegt... muss ja nicht so bleiben.

---

Genau, Versuch macht klug! Nach der von @Boilermaker verlinken Seite:

http://wiki.snom.com/Category:HowTo:TLS

unterstützt das SNOM 370 nur TLS 1.0, evtl. wird dies aktuell im Teleekom-Netz nicht mehr unterstützt?!

Gruß Ulrich

[#6]

---

@Alu15 schrieb:

habe mir ein neues Snom D710 besorgt.

Nach Installation selbe Fehlermeldung wie oben (transaction timeout tcp/tls: 1001437...). Nach Aufspielen der neusten Firmware funktioniert das Telefon ohne Probleme.

Scheint also eher ein Snom 370 Problem zu sein...

---

Lt. der von @Boilermaker verlinkten Seite:

http://wiki.snom.com/Category:HowTo:TLS

unterstützt das snom370 nur TLS 1.0 wähend das snom710 (=D710?) mit aktuellster Firmware wie das snom715 jetzt auch TLS 1.1 und TLS 1.2 unterstützt. Daraus könnte geschlossen werden, dass das der Grund ist. Aber genaueres kann sicherlich SNOM sagen.

Gruß Ulrich

[#7]

Hypothese TLS wird vom SIP Server nicht unterstützt:

Der NAPTR DNS Eintrag sieht gut auf dem Endgerät aus:

63

naptr

tel.t-online.de

10 0 s SIPS+D2T - _sips._tcp.tel.t-online.de 20 0 s SIP+D2U - _sip._udp.tel.t-online.de 30 0 s SIP+D2T - _sip._tcp.tel.t-online.de

3720

Hypothese TLS v1 wird vom SIP Server nicht unterstützt:

Die TLS Version wird zum Verbindungsaufbau ausgehandelt, d.h. die Hypothese impliziert, der SIP Server würde seit 05/2018 kein TLS v1.0 mehr unterstützen.

In den Schnittstellendokumentationen habe ich keine weiteren relevanten Informationen gefunden.

Ich habe daher mit openssl die Verbindung zu den SIP Servern mit explizit TLS v1 getestet:

  openssl s_client -starttls imap -tls1 -connect 217.0.3.228:5061 

  openssl s_client -starttls imap -tls1 -connect 217.0.3.244:5061

  openssl s_client -starttls imap -tls1 -connect 217.0.20.212:5061

erzeugen alle drei einen Verbindungsaufbau ...

D.h. TLS v1 scheint auch nicht der Knackpunkt zu sein.

[#8]

@Boilermaker

Teste doch mal mit einem Softphone (z.B. PhonerLite).

Der Router ist ja durch sein SIP ALG auch noch involviert.

Mach doch mal einen WAN Trace im W724V.

http://speedport.ip/html/capture.html

Ich hoffe der Link passt so.

[#9]

@Boilermaker

Funktioniert es den mit UDP oder TCP?

Traces mit UDP oder TCP finde ich immer einfacher zu lesen.

[#10 · Accepted solution]

Danke für den Hinweis, dass der Speedport auch einen trace ziehen kann. Das Feature war mir neu.

Positiv ist, dass auf VDLS deutlich weniger Pakete verschickt werden als im LAN.

In wireshark habe ich gesehen, dass der SIP Server eine 'fatal' Fehlermeldung 'protocol version' zurück liefert.

D.h. im Mai 2018 ist es hier wohl zu einer Änderung der Protokollversion gekommen.

Nach meiner Beobachtung scheinen solche Änderungen alle paar Jahre aufzutreten...

Da mein VoIP Endgerät inzwischen nicht mehr weiter entwickelt wird, bleiben die Optionen

a) ein neues VoIP Endgerät anzuschaffen (regelmässig)

b) Nutzung eines VoIP PBX Service (monatliche Zusatzkosten) 
c) ein analoges Endgerät anzuschaffen (einmalig, geringer Funktionsumfang)
d) ein DECT Endgerät anzuschaffen (einmalig)

[#11]

---

@Boilermaker@  schrieb:

c) ein DECT Endgerät anzuschaffen (einmalig)

---

Das wäre wohl die Lösung mit dem besten Preis-Leistungverhältnis. Leg Dir ein DECT CAT-iq 2.0 Mobilteil zu:

https://www.dect.org/cat-iq-certification.aspx

HD-Voice, zentrales und internes Telefonbuch und je nach Ausführung und Preis des Mobilteiles weitere Features wie Babyphone, Geburtskalender, Wecker und alles was man(n) nicht braucht.

Gruß Ulrich

PS: kennst Du auch diesen Link:

http://speedport.ip/engineer/html/wlan.html?

Gilt für den SP W 724V Typ A.

[#12]

Hoffentlich bin ich nicht total zu spät:

Um ein Snom der 3er-Serie zu retten, könntest Du

Web-Interface → Setup → Identity → Login → Registrar: tel.t-online.de:5060

einstellen. Dadurch deaktivierst Du DNS-NAPTR und damit dann auch SIP-over-TLS. Weitere Alternativen findest Du in diesem Thread… Aber die hattest Du weitgehend schon selbst aufgezählt.

---

Ich habe daher mit openssl die Verbindung zu den SIP Servern mit explizit TLS v1 getestet:

  openssl s_client -starttls imap -tls1 -connect 217.0.3.228:5061 

erzeug[t] einen Verbindungsaufbau

---

Puh. Du hast da STARTTLS gemacht. Das geht bei E-Mail aber nicht bei SIP-over-TLS. Der korrekte Test-Befehl wäre:

$ openssl s_client -connect 217.0.20.212:5061 -tls1

Die Telekom hat nicht die Protokoll-Version geändert, sondern bietet seit Mai überhaupt erst die Variante „SIP-over-TLS“ an. Zusätzlich hat die Telekom einen DNS-NAPTR-Eintrag erstellt. Dadurch erkennt ein Snom-Telefon automatisch, dass es nun TLS statt UDP nutzen soll. Allerdings erlaubt die Telekom dieses TLS ausschließtlich in Version 1.2. Dein Telefon-Modell kann maximal TLS 1.0. Selbst wenn es könnte, das nächste Problem wären die SHA-2 basierten Zertifikate. Das kann ein Snom der 3er-Serie ebenfalls nicht. Selbst wenn Du ein neueres Snom hättest, das nächste Problem ist der Trust-Anchor…

TLS abschalten will ich nicht

Formulieren wir es anders herum: Du kannst die neu eingeführte Funktion „SIP-over-TLS“ mit Deinem Endgerät nicht nutzen. Warum die Telekom unbedingt TLS 1.2 plus DNS-SRV erfordert (und dann doch nur 1024 bit DH-Parameter nutzt), weiß auch nur die Telekom. Viele selbst aktuelle VoIP-Endgeräte können immer noch kein TLS 1.2, beispielsweise Gigaset PRO.

[#13]

ganz herzlichen Dank für die Erläuterungen - finde ich super.

Der workaround mit der Port-Adresse funktioniert leider nicht

[#14]

Vielen Dank für diesen Thread, ich war schon am verzweifeln ein SNOM 360 direkt am DSL-Anschluss zum laufen zu bekommen. Ein Auerswald 1400 IP tut schon länger einwandfrei, aber das SNOM wollte partout nicht. Mit Angabe des Ports beim Registrar: tel.t-online.de:5060 klappte es sofort!

-Manfred