OPNSENSE und 3cX + Android Client

[pgehle]

Hi,
wir haben kürzlich die OPNSense Firewall zwischen Router (Fritz) und dem Netz installiert.
Es funktioniert alles soweit, auch 3CX bis auf die Verbindung zwischen Android Client und der 3CX Anlage. Bekomme das nicht ans laufen.
Laut Logfile greift trotz NAT und FW Regeln die "Default Rule". Habe die Ports

Anbei die Regel:


Und der Logfile-Auszug:


Habe es versucht mit der Anleitung von pfsense und anhand div. Foreneinträge.

Kann mir jemand helfen?

 

[fxbastler]

Hallo,
schönes Bild von der (WAN?) Regel. Entscheidend ist eher eine NAT Regel am WAN Interface und nur mit der wird das funktionieren. Da eben nicht nur die eine sondern auch Regeln für den Rest anlegen (z.B. 5060 TCP+UDP, 5090 TCP+UDP, 9000 - 10999 UDP).
Wenn wir schon dabei sind: bei NAT / Outbound eine Regel für die Telefonanlage eintragen. Es hat auch noch nie geschadet unter Einstellungen / Erweitert die Firewall Optimierungen auf konservativ zu setzen

Abschließend die Frage: was genau macht die Fritz!Box da / wofür wird die gebraucht?

 

[pgehle]

Vielen Dank für Deine Antwort,
anbei der Screenshot vom NAT.

 

[fxbastler]

Port 5001 TCP: da steht nur eine Firewall Regel drin, mach da mal NAT von der WAN Adresse draus, UDP wird nicht benötigt. Läuft denn der Firewall Test ordentlich durch? Was genau macht die Fritz!Box da?

 

[pgehle]

Habe das mit dem NAT mal geändert, bringt leider nix.
Der FW Test schlägt fehl, begreife aber nicht warum. Angeblich ist das Mapping nicht korrekt (siehe Bild). Die Fritz stellt nur das Modem, die FW ist ein exposed Host.

 

[fxbastler]

Wenn wir schon dabei sind: bei NAT / Outbound eine Regel für die Telefonanlage eintragen. Es hat auch noch nie geschadet unter Einstellungen / Erweitert die Firewall Optimierungen auf konservativ zu setzen

deswegen

 

[pgehle]

die gibt es auch, trotzdem will es nicht

 

[fxbastler]

Ebenso, wie ich hier zum ersten Mal sehe: du hast die Ports 5060 und 5090 umgelegt aber das bisher in keiner deiner Fragen erwähnt. Das geht hier erst aus dem fehlgeschlagenem Firewall Test hervor dass du 5066 und 5099 benutzt. In deinen Firewall Regel ist für Port 5066 TCP/UDP aber auch nur eine Regel und kein NAT eingetragen: ändern.

 

[fxbastler]

die gibt es auch, trotzdem will es nicht

Da fehlt der entscheidende Punkt in dem Bild: ist Static-Port angehakt?

Installier dir pfSense, dann funzt es auch

 

[pgehle]

ja ist er.
Es gibt jeweils NAT Regeln für 5066 und 5099:

 

[fxbastler]

ja ist er.
Es gibt jeweils NAT Regeln für 5066 und 5099:

Wieso ist dann bei den Regeln für Port 5066 und 5001 vorn nur ein Dreieck dran: das Zeichen für eine einzelne und keine verbundene Regel?

 

[fxbastler]

Im einfachsten Fall braucht man nur 4 NAT Regeln (wirklich NAT!), bei Outbound NAT eine Regel für das Gerät für das statische Port Mapping und noch die Firewall Optimierung konservativ. Dann geht das. Vorausgesetzt die Fritte davor spielt mit - was mich zu einer meiner ersten Fragen führt: was macht die da? Arbeitet die Fritz!Box im Bridge Mode oder macht die auch noch einmal NAT? Ist die absolut unentbehrlich? Sonst entfernen!

Nachtrag weil deine Antwort weiter oben untergegangen ist. Die Einstellung Exposed Host in der Fritz!Box bedeutet NAT für alle Geräte dahinter. schlecht

 

[pgehle]

Die Fritzbox unterstützt keinen Bridge Modus laut AVM. Deshlab läuft die FW als Exposed Host

 

[fxbastler]

Laut AVM ja, aber Bridge Mode geht bei einigen, hängt von versch. Dingen ab - egal anderes Thema.
Aber: warum wurde die Fritz!Box nicht durch ein Modem ersetzt?

Wurden inzwischen in der OPNSense die Firewall Regeln entfernt und durch NAT Regeln ersetzt? Läuft der 3CX Firewall Test durch?

 

[pgehle]

ich setze die 3CX Regeln heute Abend komplett neu auf.

 

[fxbastler]

Bau ein vernünftiges Modem davor und entferne die Fritz!Box, die Quelle allen Übels.

 

[pgehle]

Kannst Du eines Empfehlen, dass nicht für ein 1 Mann Büro überkandiedelt ist

 

[fxbastler]

Ich hab dir das extra verlinkt: Goldstandard

 

[pgehle]

Habe mir den Vigor bestellt, kommt Donnerstag. Hoffe es klappt dann