Anlagenkopplung mit VPN-Tunnel über IPSec

Transkript

1 Anlagenkopplung mit VPN-Tunnel über IPSec Szenario: DYNDNS Adresse: ICTxxxxxx.dyndns.org VPN Internet VPN DYNDNS Adresse: R232bwxxxxxx.dyndns.org ISDN ISDN DSL DSL Bintec R232bw IP ADR: ICT + VoVPN Gateway IP ADR: T4x4 mit DSP Modul IP ADR: CA 50 IP 50 CS 290 IP-S 400 CS 410 Funkwerk Enterprise Communications GmbH Seite 1 von 20 Stand:

2 Erläuterung Bei dieser Art der Anlagenkopplung registrieren sich die Anlagen gegenseitig als SIP-Provider. Auf jeder Anlage ICT und T4x4 wird eine kommende SIP-Proxy Verbindung und eine gehende SIP-Client Verbindung eingerichtet. Als SIP-Registrar dienen die internen Netzwerkadressen über IP sec. Die Anlagenkopplung ermöglicht die interne Telefonie zwischen den beiden TK Anlagen, diese kann über LCR oder gezielte Bündelbelegung (Kennziffer *8#xx) aufgebaut werden. Nicht möglich ist ein externer Verbindungsaufbau von der ICT über die T4x4 ins AMT (ISDN, SIP, POTS) und umgekehrt auch nicht, ebenso ist die Nutzung von übergreifenden Leistungsmerkmalen oder der Anzeige von Besetztzuständen nicht möglich. Für diese Dokumentation wird eine TK Anlage mit einem Modul VoIP- VPN Gateway wie in Abb. 01 Modulausbau und einer TK Anlage T4x4 gekoppelt. Abb. 01 Funkwerk Enterprise Communications GmbH Seite 2 von 20 Stand:

3 Konfigurationsschritte für die erste TK Anlage (ICT) Abb. 02 Im Menüpunkt Router / LAN (Abb. 02) wird unter Anlagenparameter die IP- Adresse und die zugehörige Netzmaske eingetragen. Im Beispiel werden die feste IP- Adresse und die Netzmaske verwendet. Abb. 03 Funkwerk Enterprise Communications GmbH Seite 3 von 20 Stand:

4 Unter dem Menüpunkt Adresszuordnung (Abb. 03) wird bei dem Parameter für dynamische Vergabe von IP- Adressen der DHCP- Server aktiviert. Durch die Startadresse legt man den Anfang des durch den DHCP- Server verwalteten IP- Adressen Pools fest. Die Adressanzahl gibt dann die Gesamtzahl an und bestimmt die nächste freie IP- Adresse. Unter dem Punkt DNS Server wird für die Namensauflösung Anlage als DNS Proxy verwenden eingestellt. Abb. 04 Beim Menüpunkt Internetzugang (Abb. 04) ist unter dem Punkt Internetverbindung wird hergestellt über der Verbindungstyp xdsl (PPPoE) auszuwählen. Die Anmeldeparameter werden laut den Angaben des Internetproviders eingetragen. Beim Punkt Verbindungsabbau ist die Einstellung sofortiger Wiederaufbau beim Verbindungsverlust sinnvoll, da man die Zeit zwischen Verbindungsabbau und Verbindungsaufbau so kurz wie möglich halten sollte. Es könnten sonst Registrierungsprobleme auftreten. Durch die automatische Trennung der WAN-Verbindung wird die Zwangstrennung vom Internetprovider gesteuert. Definieren Sie hier den Zeitpunkt für den wiederkehrenden Verbindungsabbau und den sofortigen Wiederaufbau. Funkwerk Enterprise Communications GmbH Seite 4 von 20 Stand:

5 Abb. 05 Im Menüpunkt Dynamic DNS (Abb. 05) werden unter Dynamic DNS aktivieren die dyndns-account Daten eingetragen, über die das Modul VoIP-VPN Gateway erreichbar ist. Abb. 05a Im Menüpunkt VPN IPSec (Abb. 05a) wird in der Registerkarte L2L-IPSec das VPN-Verbindungsszenario zwischen Gateway (ICT) und Partner (Router R232bw) hergestellt. Unter dem Punkt Partner ist der dyndns-account vom Router R232bw einzutragen. Bei dem Punkt VPN-Verbindungsparameter benennt man dann die IPSec ID entsprechend der ICT und dem Router Der Shared Secret muss ein Passwort mit mindestens acht Zeichen sein und bei ICT und Router R232bw gleich eingegeben werden. Funkwerk Enterprise Communications GmbH Seite 5 von 20 Stand:

6 Abb. 05b Nun werden im Menüpunkt VPN IPSec (Abb. 05b) in der Registerkarte Traffic noch die IP- Adressen und die Netzmaske vergeben. Die IP- Adresse unter Lokales Netz ist die der ICT. Die IP- Adresse unter Remote Netz ist die vom Router R232bw. Beide haben die gleiche Netzmaske. Konfigurationsschritte für die VPN / IPSec Verbindung über den vor geschalteten Router R232bw der zweiten Anlage (T4x4) Hier wird nur die Einrichtung der Tunnelverbindung beschrieben, es wird Vorausgesetzt, dass - der interne Netzwerkverkehr konfiguriert ist (LAN), - die Internet Verbindung (WAN) konfiguriert ist, - der DYNDNS Client eingerichtet ist, - die Namensauflösung DNS vom Router übernommen wird, - die Firewall, darf die Funktion vom Tunnel nicht unterdrücken oder beeinträchtigen. Die Einrichtung des Tunnels basiert auf den Einstellungen, wie in den Abbildungen O2 bis 05b beschrieben und konfiguriert sind. Die Benutzerdaten werden in den Wintools eingestellt und zur ICT übertragen, die daraus resultierende VoVPN Gateway Einstellung, ist die als vorgegebene Basis Konfiguration für den Tunnel zum Router R232bw. Mit dieser vorgegebenen Konstellation des VOVPN Gateways wird der Tunnel zur ICT eingerichtet.. Selbstverständlich kann das VoVPN über Telnet eingerichtet werden, ebenso der Router R232bw, setzt aber Fachwissen über die Produkt voraus. Funkwerk Enterprise Communications GmbH Seite 6 von 20 Stand:

7 Abb. 30 R232bw Phase1 Profil Der Abschnitt Phase-1 Profil wird zuerst bearbeitet. Die Beschreibung wird mit settings_ph1 bezeichnet. In Proposals wird ein Wert auf AES gesetzt. Der dann folgende Lokale ID Wert ist der ID vom Router R232bw und muss in der ICT Konfiguration als Partner IPSec ID identisch sein(abb. O5a). Die erweiterten Einstellungen sind auch anzupassen, wie in Abb. 30 vorgegeben. Funkwerk Enterprise Communications GmbH Seite 7 von 20 Stand:

8 Abb. 31 R232bw Phase2 Profil Der Abschnitt Phase-2 Profil wird danach bearbeitet. Die Beschreibung wird mit settings_ph2 bezeichnet. In Proposals wird ein Wert auf AES-128 gesetzt. Der dann folgende PFS- Gruppe verwenden muss ausgeschaltet werden. Die erweiterten Einstellungen sind auch anzupassen, wie in Abb. 31 vorgegeben. Funkwerk Enterprise Communications GmbH Seite 8 von 20 Stand:

9 Abb. 32 R232bw IPSec- Peer In Abbildung 32 wird eine Bezeichnung der VPN Verbindung eingetragen, die Peeradresse ist die DYNDNS Adresse von der ICT, wird nicht benötigt, wenn der DSL-Account eine feste öffentliche IP Adresse hat. Die Peer ID Fully Qualified Domain Name bleibt eingestellt, wie vorgegeben, aber die Peer ID ICT und der folgende Preshared Key muss mit den eingestellten Kundendaten der ICT in Lokale IPsec ID und der Shared Secret (Abb. 05a) übereinstimmen. Die Schnittstellenrouten sorgen für die Netzwerklenkung über IPsec. Die lokale IP Adresse ist die IP Gateway Adresse vom Router R232bw, kann unter Routing => Routen => IP- Routen Tabelle => Gateway kontrolliert werden. Unter Routeneinträge ist die Netzadresse mit der Netzmaske der ICT einzutragen (siehe Abb. 02 und 05b). Die in den Abbildungen 30 und 31 eingerichteten Phase 1 und Phase 2 Profile werden im Abschnitt Erweiterte IPSec- Optionen ausgewählt und gesetzt. Funkwerk Enterprise Communications GmbH Seite 9 von 20 Stand:

10 Abb. 33 R232bw Optionen Hier ist darauf zu achten, ob IPSec eingeschaltet ist, gilt für alle Tunnel, die restlichen Einstellungen verbleiben in der Standardeinstellung. In Abbildung 32 prüfen, ob der Administrative Status für den eingerichteten Tunnel aktiviert ist. Abb. 34 Kontrolle Ein erfolgreich aufgebauter Tunnel ist am grünen Pfeil unter (Abb. 34) Status zu erkennen. Damit ist die Tunnelstrecke aufgebaut. Jetzt sollte der Zugriff auf das Netzwerk der ICT möglich sein. Die Datensicherung am Router R232bw mit Konfiguration speichern ist notwendig, da nach Stromausfall / Reset der Router seine Kundendaten sonst verliert. Funkwerk Enterprise Communications GmbH Seite 10 von 20 Stand:

11 Weiter mit ICT Konfiguration Abb. 06 Unter dem Menüpunkt Standorte (Abb. 06) wird ein Standort eingerichtet. Dieses hat den Vorteil, dass man die Parameter und die Registrierung unterschiedlich definieren kann und muss zwingend eingerichtet werden. Bei dem Punkt IP- Adressen / DNS Name trägt man die interne IP- Adresse von der T4x4 ein. Im Punkt Bandbreite werden die Werte für Upstream und Downstream sowie RTP-Traffic auf maximal eingestellt. Abb. 07 Hier muss unter dem Menüpunkt SIP Provider (Abb. 07) ein Provider für eine gehende (ICT zu T4x4) Verbindung erstellt werden. In der Registerkarte Zugangsdaten im Punkt SIP-Registrar wird die interne IP Adresse der T4x4 eingetragen. Bei den Zugangsdaten müssen der Login- Name und das Passwort der T4x4 eingetragen werden. Funkwerk Enterprise Communications GmbH Seite 11 von 20 Stand:

12 Der Standort aus Abb. 06 wird hier als Schnittstelle angegeben. Im Punkt Allgemein ist für die Vermittlung von Gesprächen das Halten in der Anlage einzustellen. Abb. 08 Jetzt wird im Menüpunkt SIP-Provider (Abb. 08) unter der Registerkarte Erweitert folgendes festgelegt: In der Rufnummernkonfiguration wird immer Durchwahlblock ausgewählt und unter der Registerkarte Rufnummern werden keine Nummern eingetragen. So können alle internen Teilnehmer erreicht werden. Bei der Bündelzugehörigkeit kann die Bündelnummer einstellig gewählt werden, da dann unter änderbare Kennziffern eine andere Kennziffer für die gezielte Bündelbelegung genutzt werden kann. Im Wahlendeüberwachungstimer ist die Zeit eingestellt, nach der die ICT mit der Wahl beginnt. Die Länge der Durchwahl ist auf zweistellig einzustellen. Über VPN ist die Anzahl gleichzeitiger Verbindungen zu begrenzen. Abb. 09 Funkwerk Enterprise Communications GmbH Seite 12 von 20 Stand:

13 Bei dem Menüpunkt SIP Provider (Abb. 09) ist nun ein SIP-Provider für eine kommende (von T4x4) Verbindung zu erstellen. In der Registerkarte Zugangsdaten im Punkt wird die interne IP Adresse von der ICT eingetragen. Bei den Zugangsdaten muss das Passwort für die eingehende Verbindung das der ICT sein. Der Standort aus Abb. 06 wird hier als Schnittstelle angegeben und im Punkt Allgemein ist für die Vermittlung von Gesprächen das Halten in der TK- Anlage einzustellen. Mit der Option Anmeldung eines Proxys erlauben wird die ICT so geschaltet, dass sie als SIP-Proxy dient. Abb. 10 Im Menüpunkt SIP-Provider (Abb. 10) legt man in der Registerkarte Erweitert die Rufnummernkonfiguration, die Bündelzugehörigkeit und den Wahlendeüberwachungstimer entsprechend wie in Abb. 08 fest. Bei der Bündelzugehörigkeit kann die Bündelnummer die gleiche wie in Abb. 08 sein, da für einen kommenden Ruf keine Bündelnummer benötig wird. Die Länge der Durchwahl ist auf zwei bis 4stellig einstellbar, je nachdem wie der Rufnummernplan in der ICT ist. Abb. 11 Funkwerk Enterprise Communications GmbH Seite 13 von 20 Stand:

14 Unter dem Menüpunkt änderbare Kennziffern (Abb. 11) kann man die Kennziffer für die gezielte Bündelbelegung eintragen. Dieses vereinfacht das belegen des SIP-Providers (zur T4x4), da man keine längeren Prozeduren wie *8 Bündelnummer + Rufnummer wählen muss. Abb. 12 Unter dem Menüpunkt Teilnehmer Intern (Abb. 12) ist bei den Teilnehmern die Funktion gezielte Bündelbelegung erlauben für das Bündel 1 zu aktivieren. Dieses ist auch zwingend notwendig, wenn das LCR benutzt wird. Bei einem VOIP- Teilnehmer ist zusätzlich darauf zu achten, dass in der Registerkarte VoIP-VPN Einstellungen die Anmeldeberechtigung für alle Standorte incl. LAN aktiviert ist. Andernfalls kommen keine Verbindungen über die Anlagenkopplung Zustande. Funkwerk Enterprise Communications GmbH Seite 14 von 20 Stand:

15 Konfigurationsschritte für die zweite Anlage (T4x4) Der Ausbau der T4x4 Anlage benötigt für die Kopplung ein eingebautes VOIP-DSP Modul (Abb.13a). Auch die Programmierung ist in einigen Bereichen identisch. Hinweis: Der WAN Port der T4x4 wird nicht mehr benötigt, nur der LAN Port wird genutzt. Damit hat die Anlage hat keine NAT Funktion mehr! Die NAT Funktion muss der vor geschaltete Router übernehmen. Abb.13a Abb. 13b Im Menüpunkt Router / LAN (Abb. 13b) wird unter Anlagenparameter die IP- Adresse und die zugehörige Netzmaske eingetragen. Im Beispiel werden die feste IP- Adresse und die Netzmaske verwendet. Unter dem Punkt DNS Proxy Parameter wird für die Namensauflösung Anlage als DNS Proxy verwenden wird ausgeschaltet, das übernimmt der vor geschaltete Router. Funkwerk Enterprise Communications GmbH Seite 15 von 20 Stand:

16 Abb. 14 Unter dem Menüpunkt Adresszuordnung (Abb. 14) wird bei dem Parameter für dynamische Vergabe von IP- Adressen der DHCP- Server deaktiviert / ausgeschaltet. Durch die Startadresse legt man dann einen IP- Adressen Pool fest, der im gesamten internen Netzwerk nicht benutzt wird. Die nächsten 4 Adressen, ab dem der Startadresse eingestellt ist, sind dann für andere Leistungsmerkmale reserviert. Abb. 15 Allgemeine Einstellungen zum Menüpunkt Netzwerk (Abb. 15) folgendes: - Internetzugang nicht möglich - Adresszuordnung mit DHCP ausgeschaltet, siehe Abb DNS nicht einrichten, siehe Abb. 13b - DYNDNS nicht möglich - Filter nicht möglich All die oben genannten Positionen werden vom vor geschalteten Router verwaltet. Funkwerk Enterprise Communications GmbH Seite 16 von 20 Stand:

17 Abb. 16 Unter dem Menüpunkt Standorte (Abb. 16) wird ein Standort eingerichtet. Dieses hat den Vorteil, dass man die Parameter und die Registrierung unterschiedlich definieren kann und muss zwingend eingerichtet werden. Bei dem Punkt IP- Adressen / DNS Server Name trägt man die interne IP- Adresse von der ICT ein. Im Punkt Bandbreite werden die Werte für Upstream und Downstream sowie RTP- Traffic auf maximal eingestellt. Abb. 18 Hier muss unter dem Menüpunkt SIP Provider (Abb. 18) ein Provider für eine gehende (T4x4 zu ICT) Verbindung erstellt werden. In der Registerkarte Zugangsdaten im Punkt SIP-Registrar wird die interne IP Adresse der ICT eingetragen. Bei den Zugangsdaten müssen der Login- Name und das Passwort der ICT eingetragen werden. Funkwerk Enterprise Communications GmbH Seite 17 von 20 Stand:

18 Der Standort aus Abb. 17 wird hier als Schnittstelle angegeben. Im Punkt Allgemein ist für die Vermittlung von Gesprächen das Halten in der Anlage einzustellen. Abb. 19 Jetzt wird im Menüpunkt SIP-Provider (Abb. 19) unter der Registerkarte Erweitert folgendes festgelegt: In der Rufnummernkonfiguration wird immer Durchwahlblock ausgewählt und unter der Registerkarte Rufnummern werden keine Nummern eingetragen. So können alle internen Teilnehmer erreicht werden. Bei der Bündelzugehörigkeit kann die Bündelnummer einstellig gewählt werden. Im Wahlendeüberwachungstimer ist die Zeit eingestellt, nach der die T4x4 mit der Wahl beginnt. Die Länge der Durchwahl ist auf 2 bis 4stellig, je nach Rufnummernplan in der ICT, einzustellen. Über VPN ist die Anzahl gleichzeitiger Verbindungen zu begrenzen. Abb. 20 Funkwerk Enterprise Communications GmbH Seite 18 von 20 Stand:

19 Bei dem Menüpunkt SIP Provider (Abb. 20) ist nun ein SIP-Provider für eine kommende (ICT zu T4x4) Verbindung zu erstellen. In der Registerkarte Zugangsdaten wird im Punkt SIP-Registrar die interne IP Adresse von der T4x4 eingetragen. Bei den Zugangsdaten muss das Passwort für die eingehende Verbindung das der T4x4 sein. Der Standort aus Abb. 17 wird hier als Schnittstelle angegeben und im Punkt Allgemein ist für die Vermittlung von Gesprächen das Halten in der TK- Anlage einzustellen. Mit der Option Anmeldung eines Proxys erlauben wird die T4x4 so geschaltet, dass sie als SIP-Proxy dient. Abb. 21 Im Menüpunkt SIP-Provider (Abb. 21) legt man in der Registerkarte Erweitert die Rufnummernkonfiguration, die Bündelzugehörigkeit und den Wahlendeüberwachungstimer entsprechend wie in Abb. 19 fest. Bei der Bündelzugehörigkeit kann die Bündelnummer die gleiche wie in Abb. 19 sein, da für einen kommenden Ruf keine Bündelnummer benötig wird. Abb.22 Im Control Center können die gegenseitigen Registrierungen geprüft werden. Die T4x4 muss sich an der ICT mit Registration Success melden, dann ist die Verbindung von T4x4 zu ICT gegeben. Umgekehrt bekommt die ICT von der T4x4 eine Authentication confirm zurück und dann ist diese Verbindung auch gegeben. Funkwerk Enterprise Communications GmbH Seite 19 von 20 Stand:

20 Abb. 23 Unter dem Menüpunkt Teilnehmer Intern (Abb. 23) ist bei den Teilnehmern die Funktion Bündelbelegung erlauben für das Bündel 10 zu aktivieren. Dieses ist auch zwingend notwendig, wenn das LCR benutzt wird. Bei einem VOIP- Teilnehmer ist zusätzlich darauf zu achten, dass in der Registerkarte VOIP-VPN Einstellungen die Anmeldeberechtigung für alle Standorte incl. LAN aktiviert ist. Andernfalls kommen keine Verbindungen über die Anlagenkopplung zustande. Einschränkungen: Systemfunktionen (z.b. Besetztlampen) werden zwischen ICT und T4x4-Systemen nicht übertragen (nur innerhalb der ICT oder T4x4) und deren abgesetzten Nebenstellen möglich. Keine gemeinsame Konfiguration. Jedes System muss separat konfiguriert werden und verfügt über seinen jeweils eigenen Rufnummernplan. Über VPN Tunnel können beide Anlagen sowie Router konfiguriert werden (Filterregel beachten) Der Anwender muss bei mehrfach vergebenen internen Rufnummern die vollständige Rufnummer des gekoppelten ICT- T4x4 Systems wählen (z.b ), die dann mittels Routing- Funktion (LCR) geleitet wird. Hat jedes der gekoppelten Systeme unterschiedliche interne Rufnummern, kann das Routing direkt über die interne Rufnummer durchgeführt werden. Rufumleitungen bei gekoppelten TK Systemen (ICT mit T4x4) nicht in der Vermittlungsstelle möglich. Getestet mit den Softwareständen: - ICT Anlage: Firmware Version 7.34 RC 2 - Modul VoIP-VPN Gateway: Firmware Version 7.33 RC 6 - WIN-Tools ICT: Version 7.31 Build 2 - T484 Anlage: Firmware Version 7.50 RC14 - WIN-Tools ICT: Version 7.50 Build 24 - Router R232bw Version Funkwerk Enterprise Communications GmbH Seite 20 von 20 Stand: