ca. alle 200 ms kurze Aussetzer über VPN

[M4rtin]

Hallo,
ich betreibe eine 3cx on premise auf die durch einen OpenVPN Tunnel an einer Sophos UTM9 Firewall zugegriffen werden muss. Es geht leider nur durch VPN da die User über VPN auf einem Terminalserver (RDP) arbeiten. Dort läuft der Webclient auf einem Webbrowser:



Nach ein paar Tests hat sich rausgestellt dass ohne VPN alles OK ist (abgesehen von ca 1 Sekunde Jitter und Starten der Verbindung erst nach ca. 1-2 Sekunden sodass die Begrüßung runterfällt). Wenn der Tunnel an ist gibt es viele kurze Aussetzer pro Sekunde. Wenn man sich konzentriert kann man gerade noch so verstehen was das Gegenüber gesagt hat.

Habt ihr eine Idee woran das liegen kann?

Hier nochmal die Daten:

• Colt Anschluss mit 350 MBit Up/Down (gemessen)
• Sophos UTM 9 mit
  • Bandbreitenpriorisierung je 5MB/s für PBX/RDP/VOIP
  • OpenVPN
  • deaktiviertem Contenfilter / IPS

Es wurde clientseitig mit 2 Fritzboxen mit jeweils 50/10 Mbit Down / UP und 60/12 Mbit Down / Up mit genau dem gleichen Ergebnis getestet.

 

[nobody]

Dein Bild, das verstehe ich nicht.
Wo ist denn die PBX? Und wo das Sophos-teil?
Im gleichen Netzwerk wie der Terminalserver?

Ansonsten, meine pauschale Empfehlung: Auf den Clients (nur Windows) das Windows Softphone installieren. Sicherstellen, das die PBX nur über das Internet erreichbar ist, nicht via VPN. Das Softphone ueber den Webclient auf dem TS fernbedienen.
Das funktioniert gut.

 

[LariFari]

1. Für VOIP sollte das OpenVPN im UDP Modus laufen
2. Die Bandbreitenpriorisierung der UTM wirkt sehr wahrscheinlich nicht auf den Traffic im Tunnel, hilft hier also nicht
3. Warum können die Webclients nicht lokal laufen und über Portfreigabe in der Sophos auf die 3cx zugreifen?

 

[M4rtin]

Dein Bild, das verstehe ich nicht.
Wo ist denn die PBX? Und wo das Sophos-teil?
Im gleichen Netzwerk wie der Terminalserver?

Ansonsten, meine pauschale Empfehlung: Auf den Clients (nur Windows) das Windows Softphone installieren. Sicherstellen, das die PBX nur über das Internet erreichbar ist, nicht via VPN. Das Softphone ueber den Webclient auf dem TS fernbedienen.
Das funktioniert gut.

Hallo, danke für deinen Tipp. Also eine PBX gibt es nicht (mehr). Die Sophos ist in der Firma wo der Terminalserver ist. Dort ist aber nicht die 3CX, d.h. wenn das Windows Softphone lokal installiert wird, würde es eine direkte Verbindung zum 3CX Server aufbauen, das wäre die ideale Lösung. Also Du meinst wenn ich das Windows Softphone lokal installiere und den Webclient in der Terminal Session laufen lasse und dort auf abnehmen drücke, erkennt die websession dass der client lokal läuft und macht darüber die Verbindung? Das wäre ja wirklich optimal!

 

[M4rtin]

1. Für VOIP sollte das OpenVPN im UDP Modus laufen
2. Die Bandbreitenpriorisierung der UTM wirkt sehr wahrscheinlich nicht auf den Traffic im Tunnel, hilft hier also nicht
3. Warum können die Webclients nicht lokal laufen und über Portfreigabe in der Sophos auf die 3cx zugreifen?

Wenn sie lokal laufen würden, würden sie direkt auf den 3CX Server zugreifen, der ist nicht in dem Netz wo die Sophos läuft.
Lokal laufen geht deshalb nicht, weil die user in der Terminal Sitzung arbeiten und es zu umständlich ist, für jeden Anruf die Sitzung zu minimieren. Das ist schlecht für den Workflow...

 

[nobody]

Ein 3CX ist eine PBX (private branch exchange = Telefonanlage)
und, ja, Wenn sowohl der Lokale PC eine Verbindung zur Telefonanlage aufbauen kann via internet, und ebenso der Terminalserver, dann kannst Du auf dem Terminalserver alles tun, klick to dial, verbinden etc. Gemacht wird das dann tatsächlich aber auf dem Softphone des Clients.
Du musst dann im Webclient oben rechts das richtige Telefon wählen, das Windows softphone müsste dann in der Liste der verfügbaren Geräte aufgeführt sein (genauso wie z.B. Smartphones oder echte Telefone)
Vorteil: keine Problem mit VoIP über VPN. Auch läuft das Gespräch weiter wenn die VPN Verbindung mal abbricht.
Nachteil: Die User blicken es manchmal nicht wie man das machen muss.

 

[M4rtin]

Das ist ja wirklich hervorragend! vielen Dank!

 

[patrickb]

Bei VOIP ist es unabdingbar alle Pakete an UTMs o.Ä. direkt und ungesehen (STATELESS) passieren zu lassen. Auch intern (also via VPN).

Auch könnte es an einem fehlerhaften Routing liegen. Werden die VOIP Antwort-Pakete vllt. statt in den Tunnel, ins normale Netz zurückgeschickt weil eine überlagernde Regel dies so vorsieht, gibt es Probleme.