SIP ALG E SIP5060 PROBLEMA FORTINET FIREWALL

[dricciwide]

Buonasera a tutti,

sto riscontrando dei problemi per quanto riguarda la porta sip 5060 e ALG detect. Tutte le altre porte sono testate con successo. Premetto che ho un firewall fortinet FORTIGATE 60E.
Ho seguito passo passo la guida riportata al link: https://www.3cx.com/docs/fortigate-firewall-configuration/
Ma nienete da fare, il SIP ALG è stato disabilitato dal fortinet, ho già visionato più volte con il comando SHOW lo status della configurazione,a ho errore di mapping sulla porta 5060 e sul check ALG.
Premetto che dall'esterno l'accesso via web e via app mobile avviene correttamente. Ma il provider messagenet dall'elenco SIP TRUNK mi da connessione fallita.

Sapreste aiutarmi?

Daniele

 

[giuffro]

Ciao buon pomeriggio,

Non ho capito se il test del firewall ti ha dato esito negativo oppure se hai solo problemi con il provider messagenet.

Considera che messagenet funziona solo con il secure sip quindi dovrai impostare come porta la 5061 e vedrai che si collegherà immediatamente al provider.

Per il discorso del sip Alg è meglio che sia disabilitato.

Fammi sapere se hai risolto.

Ciao e buona serata.

Gianluca Giuffrida.

 

[dricciwide]

cIAO gIANLUCA,

ti ringrazio per la tua disponibilità, comunque sono riuscito a disabilitare ALG del mio provider, infatto il check ora mi dice OK. Per quanto riuada le porte SIP, ho abilitato il forward per entrambi le porte 5060-5061, sia UDP che TCP. Ma l'esito del check del firewall mi da questo errore:

------------------------

testing port 5061... full cone test failed (How to resolve?)

-----------------------------------------------------

Ed inoltre il profilo SIP TRUNK di messagenet continua a non collegarsi dandomi ancora una volta il pallino rosso e riportando questo log:

Call or Registration to Messagenet has failed. sip:[email protected]:5061 replied: 403 Try later; warning: Noisy feedback tells: pid=3306 req_src_ip=94.198.252.4 req_src_port=5062 in_uri=sip:sip.messagenet.it:5061 out_uri=sip:sip.messagenet.it:5061 via_cnt==1; from IP:212.97.59.76:5061

Cosa c'è che non va ancora?

Daniele

 

[giuffro]

Ciao Daniele,

L'errore 403 è un errore di autenticazione sei sicuro di aver inserito correttamente tutti I dati in tuo possesso per accedere a Messagenet?
Magari sbagli qualcosa e non te ne rendi conto.

Per il secondo problema del test del firewall fallito sulla porta 5061 ci potrebbero essere alcuni motivi.
Il tuo firewall non reindirizza correttamente la porta 5061 sull'indidrizzo ip pubblico della tua connessione Internet sull'indidrizzo ip interno della macchina su cui gira il centralino e quindi il sistema ti da questo errore. ( bisognerebbe abilitare una route statica del traffico sulla 5061 esterna sulla 5061 interna)

La seconda ipotesi potrebbe essere quella per cui il tuoi provider filtra questa porta. Non ti ho chiesto che tipo di connessione internet hai e se hai una linea Fibra con router con voip integrato perché in tal caso la porta in questione potrebbe essere riservata a questo scopo.


Fammi sapere se hai risolto.

Ciao e buona serata.

Gianluca Giuffrida.

 

[dricciwide]

Ciao Gianluca,

per quanto riguarda l'autenticazione, l'ho testata nella mia area riservata messagenet e non ho avuto problemi, quindi sarebbe da escludere a priori.
Per quanto riguarda il forward delle porte, escluderei l'inoltro errato da parte del firewall dato che si tratta di un fortinet, a cui ho disabilitato tutte le polòicy ALG integrate via commandline, e tutte le policy VOIP descritte sui manuali creati da 3cx.
Il server gira in una DMZ che ho creato ad hoc, con configurati tutti i VIPS e il forward delle porte, solitamente mettendo in DMZ un server, non c'è miglior condizione di inoltro, infatti dato che il problema è isolato sulla porta SIP, potrei pensare anche io al mio operatore, a cui ho già chiesto, e non risultano blocchi a queste porte. Posso dirti solo che comunque la fonia del mio operatore YPLAY (Svizzera), gira con protocollo VOIP.
Ci sarebbe un modo per far lavorare il centralino da porte differenti dalla 5060? Per ovviare questo problema?

Daniele

 

[giuffro]

Ciao Daniele buonasera,

Non conosco il tuo firewall ne ho utilizzati di altre marche.

L'utilizzo del server in Dmz non è una soluzione ottimale basta mettere il server nella Lan normale e basta fare il nat delle porte che vengono utilizzate dal centralino.

Le porte 5060/5061 devono essere aperte su internet solo se hai la necessità di utilizzare dei telefoni voip all'esterno della tua rete, altrimenti se usi l'applicazione per smartphone o per pc viene usata per la connessione la porta 5090 del tunnel.

La porta 5061 dovrebbe essere già aperta per la connessione dei provider Voip.
Non so se tu hai utilizzato il template corretto per la connessione a Messagenet dentro al sip trunk.
Se hai la possibilità di fare una prova potresti provare a vedere se riesci attraverso un pc phone di testare se funziona il tuo account di messagenet.
Non mi hai detto se tu hai una connessione dedicata per i dati ed una per il Voip.
YPLAY che cosa utilizza per darti il servizio di telefonia Voip?
Cioè con che adattatore ti converte il Voip in linea telefonica è compreso nel router oppure hai un adattatore esterno?

Ti dico come ho fatto io su un'installazione di un centralino telefonico 3cx su una linea in :"Fibra di Tim".

Ho fatto diversi tentativi di cambiare le porte nel pannello di controllo del centralino ma senza successo così ho fatto un escamotage ho fatto il nat della porta 5061 dell'indirizzo ip esterno pubblico sulla porta 5060 della macchina su cui gira il centralino in questo modo il test del firewall è andato a buon fine.
Certo non è la soluzione ottimale ma funziona considera che questa installazione è in funzione da ottobre senza problemi, anche su questa c'è Messagenet, Clouditalia, e Freevoip tre provider voip.


Purtroppo non è semplice a distanza risolvere il problema.

Spero di averti dato qualche informazione in più.

Tienimi aggiornato sui tuoi sviluppi.

Ciao e buona serata.

Gianluca Giuffrida.

 

[giuffro]

Mi sono dimenticato di dirti che nella fibra di Tim la porta 5060 non è utilizzabile se usi il modem in comodato d'uso gratuito poiché è utilizzata dal router per la conversione da Voip a linea telefonica fissa attraverso l'adattatore presente all'interno del router.

Ciao e buona serata.

Gianluca Giuffrida.

 

[giuffro]

Ciao Davide ho la soluzione per Messagenet,

probabilemente di sicuro l'avrai già trovata a questo punto.

Comunque è come dicevo io ho avuto conferma grazie ad un mio cliente che aveva il solito problema.

Messagenet all'attivazione di un nuovo numero nella mail ti da : Numero di Telefono, ID e Password.

Id e password servono per accedere al sito e basta, poi vai su Impostazioni -> Voip-> selezioni il numero che vuoi configurare sul centralino poi alla voce linea telefonica trovi: Credenziali di autenticazione e qui hai a disposizione :
Numero interno e password che è evidenziata in nero per non farla vedere ( basta selezionarla con il mouse e si vede)

Con questi due dati il centralino si registra correttamente su Messagenet.

Ciao e buona serata.

Gianluca Giuffrida.

 

[jesterhead]

Salve ragazzi, se è possibile vorrei fare una domanda a Gianluca o a chi possa aiutarmi, ho configurato l'apparato come ha splendidamente descritto Gianluca, ho un contratto aziendale con Tim, quindi con annesso ip publico statico. Funziona tutto (anche i dispositivi mobili connessi in remoto), l'unico problema è che Tim l'ip assegnato al router "secondario" cambia ogni 10 ore circa, con notevoli sbattimenti nel reinserimento del nuovo indirizzo nel centralino. Ci sarebbe un modo per ovviare a tutto ciò, ossia evitare di reinserire ogni volta il nuovo indirizzo ip assegnatomi da Tim!? Grazie di cuore a chi possa aiutarmi e buona Domenica.

 

[giuffro]

Ciao buongiorno,

Il problema è che l'indirizzo IP in modalità bridge è di default dinamico, non so se contattando Tim loro sono in grado di darti un secondo ip pubblico statico su questo tipo di connessione.
Credo che abbiano un servizio ovviamente a pagamento con 4/8 ip pubblici di sicuro ti dovranno dare un router diverso da quello standard.
L'alternativa potrebbe essere quella di collegare il centralino direttamente al modem Tim e quindi lui utilizza l'IP statico assegnato e configurare il router secondario sulla connessione con l'IP secondario dinamico.
Di sicuro hai più sicurezza con un firewall serio rispetto alla sicurezza che un router Tim di fascia bassa può darti.
Non hai bisogno di reinserire ogni volta l'indirizzo IP dentro al centralino 3cx basta selezionare che l'indirizzo IP è dinamico e non statico, funziona ma non è la soluzione ottimale, lui va ad aggiornare sul sito di 3cx l'indirizzo FDQN e quindi se tu inserisci questo indirizzo nei terminali non ci dovrebbero essere problemi, se ovviamente il servizio di 3cx funziona correttamente.

Tienici aggiornati sugli sviluppi.

Ciao e buona giornata.

Gianluca Giuffrida.

 

[jesterhead]

Grazie per il gentile aiuto Gianluca, il problema è che ho già testato il centralino sul router Tim, ma non riesce a superare il test del firewall anche aprendo correttamente le porte.

 

[jesterhead]

Comunque mi sono reso conto che ho sbagliato thread, quello a cui facevo riferimento era questo: https://www.3cx.it/topic/problema-porte-modem-fibra-telecom/ . Sorry

 

[giuffro]

Ciao su quali porte hai il problema?

Io ho un installazione di un mio cliente che ho fatto su router Tim fibra e funziona tutto correttamente.

Secondo me lo puoi fare tranquillamente.

Fammi sapere.

Ciao a presto.

Gianluca Giuffrida.

 

[jesterhead]

Purtroppo il test non passa su nessuna porta. Ne la 5060, ne la 5090 e neppure il range dalla 9000 alla 9255. Il router è il Technicolor.

 

[giuffro]

Ciao buongiorno,
Li i problemi potrebbero essere un paio: o errato Nat sul router Tim oppure hai un firewall software sul server che ospita il centralino che ti blocca tutte le porte.

Fammi sapere se hai risolto.
Ciao e buona giornata.

Gianluca Giuffrida