Sophos VPN - Netcom DS Lite keine ausgehenden und internen Anrufe möglich

[EricB]

Hallo Community,

wie haben folgenden Aufbau:
SNOM D345 befindet sich beim Kunden im Home Office an einer Sophos RED20 und baut einen VPN Tunnel zum Firmennetzwerk auf.
Das Telefon kann erfolgreich über die DHCP Option 66 Provisioniert werden.
Es wird mittels einer bereits vorhanden Nebenstelle Provisioniert.
Anrufe welche auf der Nebenstelle eingehen (intern und extern) können erfolgreich entgegen genommen werden.
Kunde arbeitet per RDP Verbindung auf einem Rechner im Firmennetzwerk.

Ausgehende Anrufe funktionieren nicht. Meldung am Telefon: "Network Failure"
BLF Tasten ohne Funktion. Laut Activity Log landet der "Call" nicht in der 3CX. Es wird nichts protokolliert.

Der Aufbau wurde an einem anderen Standort getestet. Es funktioniert alles problemlos.
Einziger feststellbarer Unterscheid:
Der Internet Anschluss im Home Office des Kunden wird über eine FritzBox (Red20 ist exposed host)
der Netcom mit einem DS-Lite Anschluss betrieben.
Auch bei einem Kollegen welcher einen Anschluss der Netcom zuhause hat
funktioniert die Telefonie nicht.

Hat jemand Erfahrungswerte mit einem DS Lite Anschluss in Verbindung mit VPN und 3CX Telefonie?
Der Technische Support kann mir nicht weiterhelfen.

Beste Grüße

EricB

 

[bitn2]

Wie ist das Telefon denn provisioniert? Per IP oder FQDN. Der VPN ist der auf Standard oder Split eingestellt?

 

[EricB]

Das Telefon ist per IP provisioniert. Der Tunnel ist Standard / Unified. Alles fällt in den Tunnel der RED.

 

[bitn2]

Die Firewallregeln ok? Dürfen die Reds in das Netz der 3CX? Das scheint generell ein Firewall Problem zu sein. Evtl mal die Telefone manuell provisionieren ohne DHCP 66.

 

[EricB]

Auch wenn es nicht notwendig ist wurde jeglicher Datenverkehr zwischen den Netzen freigegeben.
Die 3CX befindet sich im selben Netz wie der Arbeitsplatzrechner zu dem die Verbindung per RDP aus dem Home Office heraus aufgebaut wird. Vom 3CX Server aus kann man auch die Telefonoberfläche des Telefons erreichen und vom VPN Netz aus die 3CX Management Konsole der Telefonanlage. Das Telefon wird auch korrekt in der Nebenstelle angezeigt und kann per lokalem 3CX Windows Client aus dem Firmennetzwerk heraus ausgewählt werden.
Der Aufbau wurde testweise beim Kunden abgebaut und an einem anderen Standort aufgebaut. Da läuft alles ohne Probleme ohne das etwas an der Konfiguration geändert worden ist.

 

[bitn2]

Hmm... da alles über den Tunnel geht, sollte der Internetanschluss keine Rolle spielen. Ich würde es noch mal mit der manuellen Provisionierung versuchen. In der Sophos in den Firewall Regeln von RED zu Intern und Intern zu Red alles frei gegeben?

 

[EricB]

Ja genau. HomeOffice -> Any -> Internal Network und zurück entsprechend auch.
Die Konfiguration vor Ort gestaltet sich schwierig da der Kunde etwas weiter weg wohnt und keinerlei technisches Verständnis hat.

Wir können uns selbst nicht erklären woran es noch liegen soll da dies nicht der einzige Kunde ist bei welchem wir solch einen Aufbau betreiben.

Eine Überlegung welche wir noch haben ist das ipv6. Durch den DS Lite Anschluss hat die FritzBox keine öffentliche ipv4 Adresse und das ipv6 ist auf der gegenstelle und der Sophos nicht konfiguriert. Da läuft alles über ipv4. Daher die Überlegung ob es an dem Internetanschluss liegen könnte.

 

[bitn2]

Ok, dann sollte das eigentlich passen. Wir haben in genau der Konstellation auch ein paar Kunden. Da der Tunnel ja funktioniert und auch die 3CX zu erreichen ist als auch der RDP fällt mir grad nichts ein was noch sein könnte. DS Lite dürfte eigentlich in dem Fall kein Problem sein.

 

[bitn]

Hallo zusammen,

wir bauen unsere Anlagen immer mit Split DNS auf.
Also auf unseren internen Windows DNS Servern erstellen wir eine Zone meinetk.my3cx.de und setzen einen Host A Eintrag auf die interne IP der 3CX. In der Außenstelle also dem RED geben wir dann den internen Windows DNS Server im DHCP mit und keinen zweiten.
Die Telefone provisionieren wir immer mit dem 3CX Hostnamen und nicht mit der IP.
Vielleicht wäre das einen Versuch wert.