Firewall Einstellungen und weitere ggf. notwendige Grundeinstellungen für die Nutzung der Dienste der SIP-Tk-Anlage CentrexX bzw.

Transkript

1 Betreff: Firewall Einstellungen und weitere ggf. notwendige Grundeinstellungen für die Nutzung der Dienste der SIP-Tk-Anlage CentrexX bzw. SIP Trunk Sehr geehrte Kunden und IT-Verantwortliche, wir erlauben uns Ihnen ein paar Hinweise, die für den Betrieb der: SIP-Tk-Anlage CentrexX Seite 1-2 SIP-Tk-Anlagenanschluss (Trunk) Seite 3 Business IP Anschlüsse Seite 4 und die Nutzung der Dienste notwendig bzw. hilfreich sind, zu geben. Bitte überprüfen Sie diese mit dem verantwortlichen IT-/Daten-Kollegen. SIP Tk-Anlage CentrexX: Allgemein: Es sind nur ausgehende Firewall Policies betroffen. Für eingehende Verbindungen bestehen keine Anforderungen. Für den Zugriff auf den Centrex Dienst gelten folgende Punkte/ im Zusammenhang mit der Umstellung CentrexX2.0 sind Punkte 3 und 4 besonders zu beachten: 1. Ist Stateful Packet Inspection (SPI) aktiviert? 2. Ist der UDP Nat Translation-Timeout auf 180 Sekunden eingestellt? 3. Ist UDP pauschal für das Netz /22 für ausgehende Kommunikation freischaltet? 4. Ist der Ziel-TCP Port 5039 für das Netz /22 für TAPI offen? 5. Betreiben Sie zwei Router hintereinander? Durch doppelte NAT-Translation ist die Telefonie über SIP nicht möglich. Für eine reibungslose Sprachkommunikation genügt es, alle UDP-Ports ausgehend zu unserer IP-Adresse (s.u.) zu öffnen. Sollten Sie Ihre Firewall restriktiver einstellen möchten, so können Sie die Ports auf die oben genannten Beschränken. Die Deutsche Telefon weist darauf hin, dass sich die genannten Portbereiche aus technischen Gründen ändern können. Sie werden rechtzeitig hierzu informiert, damit Sie Ihre Einstellungen anpassen können. Anmerkung : Jeder Verbindung wird aus ihrem Netz aufgebaut. Die Telefone öffnen beim Starten einen UDP-Port in Ihrem Router/Firewall (dynamisch mit Zielport 5060), dieser wird von uns gepollt. Somit bleibt die Verbindung bei einem UDP-Timeout von größer-gleich 180 Sekunden bestehen. Eingehende Gespräche werden über diese stehende Verbindung signalisiert. Der RTP-Stream wird wiederum vom Telefon (in diesem Dokument genannten Portbereichen) initiiert, so dass auch dies im Grunde aus ihrem Netz heraus passiert. Somit sind die beschriebenen Einstellungen für den reibungslosen Ablauf ausreichend.

2 Massdeployment/Autoprovisioning: Zur Einrichtung der Telefone bitten wir Sie, diese Punkte in Ihrem Router bzw. für Ihr Datennetz zu überprüfen: 1. Ist FTP (als Proxy rsp. Application Layer Gateway) zumindest auf die /24 freigeschaltet? 2. Ist HTTP (TCP, 80) freigeschaltet? 3. Ist HTTPS (TCP, 443) freigeschaltet? 4. Ist Port freigeschaltet? ( TCP, nur bei Nutzung von OpenStage ) 5. Ist Port freigeschaltet? ( TCP, nur bei Nutzung von Snom ) 6. Ist Port freigeschaltet? ( TCP, nur bei Nutzung von Aastra ) 7. Ist Port freigeschaltet? ( TCP, nur bei Nutzung von Yealink ) 8. Ist Port freigeschaltet? ( TCP, nur bei Nutzung von Yealink ) 9. Ist ein DNS konfiguriert? Nutzung von TAPI: TAPI kann nur genutzt werden, wenn auch auf zentraler Seite im Rechenzentrum der Deutschen Telefon Standard AG, die Firewall geöffnet ist. Dies wird erreicht durch: Anmelden als Nutzer im Powermenü oder Eintragen eines dyndns-konto in der Firewall der Deutsche Telefon oder Freigabe einer statischen IP in der Firewall der Deutsche Telefon Bitte senden Sie uns bereits in der Vorbereitung zur Inbetriebnahme Ihre statische IP Adresse oder den entsprechenden dyndns-konto an service@deutsche-telefon.de. Nutzung des Dienstes Fax / Hardware-Fax: Fax kann nur genutzt werden wenn: der Faxanschluss über eine IP im Access Network der Deutschen Telefon angemeldet ist oder Sie sich im Power Menü als Nutzer angemeldet haben oder ein dyndns-konto bei uns in der Firewall hinterlegt ist oder eine statische IP von Ihnen bei uns in der Firewall hinterlegt ist. Bitte senden Sie uns bereits in der Vorbereitung zur Inbetriebnahme Ihre statische IP Adresse oder den entsprechenden dyndns-konto an service@deutsche-telefon.de Besonderheiten bei Routern / Firewall: Sollte Ihr Router/Firewall über einen SIP ALG oder einen SIP B2BUA verfügen und es dadurch zu Inkompatibilitäten kommen, prüfen Sie bitte alternative Optionen ohne SIP ALG bzw. ohne SIP B2BUA z.b. durch Deaktivierung, Downgrade auf ältere Firmware, Upgrade auf neuere Firmware oder ggfs. sogar mit einem alternativen Router. In Abhängigkeit Ihres Routers kann es vorkommen, dass sich mehrere Endgeräte unter einer öffentlichen IP und mit dem gleichen internen Port bei den zentralen Einrichtungen der Deutschen Telefon angemeldet haben. Sie erkennen das, wenn von mehreren Telefonen nur genau eines nach extern telefonieren kann. Dies tritt ggfs. zum Beispiel bei dem Betrieb an einer Fritzbox auf. Bitte wenden Sie sich an unseren Service, der durch entsprechende Konfiguration auf zentraler Seite die Telefonie ermöglichen wird.

3

4 SIP Trunk: Bitte beachten Sie, dass Ihre Firewall entsprechend konfiguriert ist und insbesondere kein SIP-ALG eingeschaltet ist. Anforderung an die Firewall-Konfiguration Ist Stateful Packet Inspection (SPI) aktiviert? /22 UDP alle Ziel-Ports (RTP) Maximal 1 x NAT (network address translation) UDP NAT Timeout muss > OPTIONS keep-alive eingestellt sein (s. SIP-Details) SIP-Details Registrar/Proxy: sip.dtst.de mit Ziel UDP Port 5060 RFC2833 für DTMF T.38 für Fax Rufnummernformat: <nationale Nummer> OPTIONS keep-alive von PBX Seite her Clip-no-Screening SIP Trunk P-Asserted-Identity: Eine Rufnummer, die zum SIP Trunk der Deutschen Telefon gehört, muss in die P-Asserted-Identity, auf diese wird abgerechnet. Dann wird die Rufnummer aus dem Rufnummernteil des FROM-Headers für Clip-no-screening genutzt. P-Preferred-Identity: Eine Rufnummer, die zum SIP Trunk der Deutschen Telefon gehört, muss in den Rufnummernteil des FROM-Headers, auf diese wird abgerechnet. Dann wird die Rufnummer aus der P-Preferred-Identity für Clip-no-screening genutzt.

5 Business IP Anschlüsse : Bei den Business IP Anschlüsse der Deutschen Telefon Standard AG ist der Wert für MTU-Size 1446, dieser muss gff. LAN seitig in Ihren zentralen Einrichtungen beachtet werden. Beachten Sie bitte, dass der MTU Wert auch in einem VPN nicht überschritten werden darf. DSL Zugang mit Zwangstrennung bei Fremdleitungen: Bei kundenseitig bereit gestellten DSL-Leitungen mit Zwangstrennung sollte der Router so konfiguriert werden, dass die Zwangstrennung außerhalb der Geschäftszeiten (z.b. um 03:00 Uhr Nachts) erfolgt. Andernfalls kann es ggf. zu Störungen der Telefonie tagsüber kommen. Sie haben Fragen? Bitte wenden Sie sich gerne zwischen 08:00Uhr und 18:00Uhr direkt an unseren Service oder senden Sie uns auch eine Nachricht an service@deutsche-telefon.de.