R884VA: VoIP umstellung mit zusätzlichen Router

[AndreasL]

Gegeben:
ISDN TK Anlagen Anschluss für 8 Leitungen
Zusätzliche VoIP Internet Leitung All-IP 50Mbit
älterer Bintec Router mit Speedport im Bridge Mode als externes Modem, DynDNS

Änderung heute:
Umstellung ISDN Leitung auf VoIP SIP-Trunk mit Lancom R884VA, 100Mbit Internet, Fest IP zum Internet

Aufgabe:
Der Bintec Router soll hinter den Lancom Router und die 100Mbit Leitung nutzen, seine alte Leitung mit dem externen Modem soll entfallen

Wissenwertes und zu beachten:
VPN Zugriff aus dem Internet geht per IPsec auf den Bintec
Im Bintec ist ein Portforward für Port 80/443 um vom Internet auf den Internen Mailserver zu kommen
Der Bintec hat ein UMTS Backup für das Internet
Einwahl per PPPoE über das externe Modem (Speedport im Bridge Mode)

Der Lancom Router wurde eingerichtet, Telefonie mit der TK Anlage geht, 4* S0 am Lancom zur TK Anlage angeschlossen.
Internet am Lancom geht über die Telefonie Leitung mit 100Mbit.
Auf dem Lancom ist DHCP aus, Lan1 ist auf 192.168.12.254 /24 konfiguriert
Lan 1 ist mit dem Bintec verbunden. Auf dem Bintec wurde dafür ein Port im Lan Switch (ETH1-1) separiert und mit der IP 192.168.12.253 versehen
Im Lancom ist die 192'er Blockroute aus, ein Routing auf das LAN hinter dem Bintec (192.168.1.0 /24) wurde auf dem Lancom hinzugefügt.

Das ist stand der Dinge. Ich kann vom Firmen Lan hinter dem Bintec den Lancom erreichen und anpingen/konfigurieren. Soweit - so gut.

Jetzt soll als erstes zum testen der Zugriff aus dem Internet auf den Internen Mailserver über die Feste IP des Lancom Router hergestellt werden. Ich dachte es sei eine leichte Übung ehe ich mich an den VPN Zugriff mache, aber wie immer scheine ich etwas zu übersehen.
Ich dachte mir in meiner Naivität es reicht im Lancom ein Portmapping für 80/443 auf das Ziel im Lan anzulegen, also 443 auf 192.168.1.xx, das Routing geht ja. Aber das scheint nicht zu reichen, denn ich komme von extern nicht auf den Mailserver.
Von der SSH des Lancom kann ich den Server 192.168.1.xx anpingen. Das Interne Routing scheint soweit zu stimmen.
Liegt das an der Default Route des Bintecs, der natürlich über seine Wan Leitung ins Internet will oder übersehe ich etwas anderes wenn ich extern über den Lancom komme?

Ideal wäre natürlich, wenn der WAN Port des Lancoms transparent wäre aber soweit ich gelesen habe geht das nicht in Verbindung mit der Telefonie. Entweder/Oder.

Lange rede, kurzer Sinn: wie stelle ich es am besten an den Bintec mit all seinen Aufgaben hinter dem Lancom zu nutzen und dabei über die 100Mbit Leitung zu gehen?

Langfristig wäre natürlich denkbar den Bintec raus zu werfen und direkt durch den Lancom zu ersetzen aber da muss ich erst mal sehen wie das mit dem LTE Backup zu lösen ist (externes LTE Modem am Bintec, Config über DHCP) und wie ich die ganzen VPN Zugünge umstelle (der Bintec hat eine VPN Lizenz Erweiterung drin). Das ist viel Aufwand, den ich gerne Vermeiden will wenn möglich.

Kann mir jemand mit Ideen, Anleitungen und/oder Links weiter helfen? Das ist alles recht komplex und wird noch schwieriger wenn dann die IPsec Einwahl hinzu kommt.

[backslash]

Hi AndreasL

Ich dachte mir in meiner Naivität es reicht im Lancom ein Portmapping für 80/443 auf das Ziel im Lan anzulegen, also 443 auf 192.168.1.xx, das Routing geht ja.

solange du in der Firewall des LANCOM keine Deny-All Regel hat, ist das auch vollkommen ausreichend. Wenn du eine Deny-All Regel hast, dann mußt du auch eine passende Allow-Regel, für den Mail-Server einrichten...

Liegt das an der Default Route des Bintecs, der natürlich über seine Wan Leitung ins Internet will oder übersehe ich etwas anderes wenn ich extern über den Lancom komme?

Das dürfte der naheliegendste Grund sein... Die Default-Route des Bintec muß jetzt natürlich auf das LANCOM zeigen, wodurch du dir natürlich sofort deine VPN-Verbindungen abreißt, wenn du keine passenden Portforwarddings (UDP-Ports 500 und 4500) im LANMCOM einrichtest...

Ideal wäre natürlich, wenn der WAN Port des Lancoms transparent wäre aber soweit ich gelesen habe geht das nicht in Verbindung mit der Telefonie. Entweder/Oder.

das hat nichts mit Telefonie zu tun... Wenn du vom Provider nur eine IP-Adresse bekommst, dann geht es nicht ohne NAT... Bekommst du ein Netz, dann kannst du das Netz auch "transparent" auf eine DMZ legen - die Maskierungs-Option der Defaultroute muß dann aus "nur Intranet maskieren" stehen - siehe auch https://www2.lancom.de/kb.nsf/1275/A2E9 ... enDocument

Langfristig wäre natürlich denkbar den Bintec raus zu werfen und direkt durch den Lancom zu ersetzen

das ist vermutlich sinnvoller, als eine Routerkaskade aufzubauen...

aber da muss ich erst mal sehen wie das mit dem LTE Backup zu lösen ist (externes LTE Modem am Bintec, Config über DHCP)

das ist mehr oder weniger trivial... siehe z.B. hier https://www2.lancom.de/kb.nsf/1275/F57B ... enDocument

und wie ich die ganzen VPN Zugünge umstelle (der Bintec hat eine VPN Lizenz Erweiterung drin).

die mußt du wohl oder übel manuell einrichten, aber auch dazu gibs in der LANCOM KB Anleitungen, z.B. die hier https://www2.lancom.de/kb.nsf/1275/7E74 ... enDocument - die beschreibt zwar, wie man ein LANCOM mit einem Bintec verbindet, aber in deinem Fall läuft es letztendlich genau darauf hinaus, weil deine VPN-Verbinungen ja auch auf einen Bintec an einem Ende ausgelegt sind...

Gruß
Backslash

[AndreasL]

Danke erst mal für die Antworten.

Ich habe versucht das mal alles zu debuggen aber so richtig weit komme ich nicht. Im Tracelog auf dem Lancom sehe ich Pakete mit Ziel Port 443 zum Mailserver aber was mit denen passiert ist mir nicht klar. Auf dem Bintec rührt sich gar nichts und es scheint dort nichts anzukommen. Eigentlich müsste es auch ohne Default Route gehen solange eine explizite Route vom Lancom zum Bintec besteht. Wie gesagt, ich kann vom Lancom den Mailserver hinter dem Bintec anpingen. Also müssten die Pakete doch ihren Weg auch dann finden wenn sie über den Wanport des Lancoms kommen und darüber zurück laufen. Zwischen Wan und Lancom ist NAT, zwischen Lancom und Bintec kein NAT. Da sollte eigentlich das Portmapping auf Internet (im Lancom) reichen.

Das mit der Default Route auf den Lancom mit Deaktivierung des Wan Ports am Bintec muss ich mal an einem Wochenende vor Ort ausprobieren. Ich vermute das es geht und wenn ich alle nötigen Ports auf den Bintec weiter leite (Thema Exposed Hosts https://www2.lancom.de/kb.nsf/1275/AC69 ... ED00465C53) müsste ich auch mit VPN reinkommen. Soweit die Theorie.

In der Firewall (IPv4) sind nur 2 Regeln. Einmal WINS und das andere CONTENT-FILTER. Da hat auch noch keiner dran rum gestellt. Das müsste so passen.

Mit einem 8'er Netz wäre es sicher einfacher aber ich habe leider nur eine Feste IP. Dadurch habe ich nur Interne IPs zum spielen. Mit Public IPs wäre es einfacher, da habe ich eine vergleichbare Bintec Config bei einem anderen Kunden am laufen (2x Internet mit 1 externen DSL Modem und einem Provider Router, aber keine Telefonie)

Zum LTE Backup: Ganz so einfach ist es nicht Es existiert ein Bintec 4Ge-LE Modem welches weiter verwendet werden soll. Das muss ziemlich speziell über DHCP eingerichtet werden. Dazu gibts hier sogar einen Thread mit dem Hinweis das Bintec das am Lancom zum laufen gebracht hat aber die FAQ wurde nie um einen Lancom Eintrag erweitert. Das jetzt experimentell zu ermitteln ist mir zu aufwendig, da das Gerät beim Kunden steht. Wenn inzwischen jemand eine Anleitung dafür hat wie man das Teil als Backup WAN Port am R884 konfiguriert wäre ich für einen Tipp dankbar.

Knackpunkt dürfte aber das VPN des Geräts sein. Soweit ich das sehe kann er nur 3 IPsec Kanäle und scheint nicht erweiterbar zu sein. Bedeutet das nur 3 IPsec Gegenstellen oder mehr Gegenstellen (wenn ja wie viele?) und nur 3 Aktive Gegenstellen zur gleichen Zeit?

PS: blöde frage: kann es sein das die Portforwarding Einträge im Lancom erst nach einem Neustart aktiv werden? Kann nicht derzeit leider nicht testen da sonst die Telefonie unterbrochen wird.

[Jirka]

Hallo,

ich greife hier zu später Stunde aus Zeitgründen nur zwei Abschnitte auf, dann brauch Backslash nicht so viel schreiben.

In der Firewall (IPv4) sind nur 2 Regeln. Einmal WINS und das andere CONTENT-FILTER. Da hat auch noch keiner dran rum gestellt. Das müsste so passen.

Die Content-Filter-Regel ist deaktiviert. Die kann man auch löschen, weil sie wie gesagt sowieso deaktiviert ist. Es ist eigentlich nur Werbung für den Content-Filter (also die Option).
Ansonsten ja, das ist der Default-Zustand, da ist also im Prinzip keine Firewall-Regel existent (von der einen WINS-Regel mal abgesehen, die hier nichts zur Sache tut).

Knackpunkt dürfte aber das VPN des Geräts sein. Soweit ich das sehe kann er nur 3 IPsec Kanäle und scheint nicht erweiterbar zu sein. Bedeutet das nur 3 IPsec Gegenstellen oder mehr Gegenstellen (wenn ja wie viele?) und nur 3 Aktive Gegenstellen zur gleichen Zeit?

Das bedeutet nur 3 aktive VPN-Verbindungen zur gleichen Zeit. Wieviel Du anlegen kannst, gute Frage, ich glaube im Datenblatt steht unbegrenzt. Dass es bei einem Gerät mit endlichen Ressourcen natürlich keine unbegrenzten Möglichkeiten gibt VPN-Verbindungen anzulegen, dürfte klar sein, aber zumindest scheinen hier deutlich mehr als 100 konfigurierbar zu sein, was Dir wohl mehr als ausreichen wird.
Mit der Enterprise-Option (ab 50 EUR) kannst Du aus den maximal 3 gleichzeitigen Verbindungen, maximal 5 machen.
Mit der VPN-25-Option (ab 210 EUR) kannst Du maximal 25 gleichzeitige VPN-Verbindungen aufbauen.

Viele Grüße,
Jirka

[C/5]

Hallo Jirka,

Mit der Enterprise-Option (ab 50 EUR) kannst Du aus den maximal 3 gleichzeitigen Verbindungen, maximal 5 machen.
Mit der VPN-25-Option (ab 210 EUR) kannst Du maximal 25 gleichzeitige VPN-Verbindungen aufbauen.

Aber laut Lancom nicht beim 884. Der sei dafür nicht leistungsfähig genug, weshalb das wirklich auf maximal 5 gleichzeitige Verbindungen limitiert sei. Außerdem hat der OP anscheinend einen R884, also die Telekom-Edition. Da gelten noch mal andere Bedingungen. Für mich war das kürzlich der Grund, den 1784VA zu wählen, der auch 4 NT Ports bietet. Bei dem gelten diese Einschränkungen nicht.

C/5

Edit: Infos hier aus dem Forum

[AndreasL]

Guten Morgen,

ja, es ist ein Telekom-Modell.
VPN: 3 gleichzeitig bzw 5 mit Option würden reichen. Ich muss halt bis zu 20 Zugänge anlegen. Bei Bintec ist bereits das Anlegen limitiert, daher meine Frage wie das bei diesem Lancom gelöst ist. Das wäre dann schon mal ein lösbares Problem. Wenn ich jetzt noch die Sache mit dem LTE Modem raus kriege ...

Am Anfang klang die Telekomumstellung recht einfach und wir haben alle lange darüber nachgedacht. Jetzt tauchen die lieben kleinen Details auf, die einem graue Haare machen.

Gruß Andreas

[Jirka]

Hallo,

Aber laut Lancom nicht beim 884.

korrekt.

Der sei dafür nicht leistungsfähig genug, weshalb das wirklich auf maximal 5 gleichzeitige Verbindungen limitiert sei.

Na ja, stimmen tut das nicht, aber es ist eben ein Gerät zu einem günstigen Preis, welches nicht dem 1784VA im höheren Preissegment Konkurrenz machen soll.

Außerdem hat der OP anscheinend einen R884, also die Telekom-Edition. Da gelten noch mal andere Bedingungen.

Korrekt. Und zwar die, die ich geschrieben habe.

Viele Grüße,
Jirka

[AndreasL]

Noch ein kleiner Nachtrag zum Bintec Router hinter dem Lancom R884:
Bislang habe ich mit einem dedizierten LAN Port und Routing gearbeitet. Ich bin noch mal in mich gegangen und habe mir da alte Unterlagen angesehen und einen anderen weg entdeckt. Der Bintec bietet über den Internet Assi die Einrichtung eines Wan Ports mit externen Gateway an. Hier könnte ich die Daten des Lancoms eingeben. Defaultroute im Bintec wird gleich mit gesetzt und alles als WAN und nicht als LAN behandelt. Das könnte möglicherweise meine Lösung sein um den Mailserver dann von extern über den Lancom zu erreichen. Dann müsste das Portmapping im Lancom Wirkung zeigen.

Testen kann ich das aber erst wenn ich an einem Wochenende vor Ort bin und physischen Zugriff habe, da ich im Zweifel den Bintec neu starten können muss wenn ich mich aussperre Diese Idee behalte ich mal im Hinterkopf und berichte, wenn ich es ausprobieren konnte.

Noch was zum Thema günstiges Modell R884: der hat offenbar nur 100Mbit Anschlüsse auf der Lan Seite, kein Gigabit, was ich eigentlich erwartet habe. Iss nen bisschen knapp wenn man einen 100'er VoIP Anschluss hat, keine Reserven. Geht aber natürlich trotzdem.

[Jirka]

Hi,

der alte LANCOM 1724 hatte noch 100 Mbit/s, ja, aber der R884VA (genauso wie der 884 VoIP oder der 1784VA) hat natürlich Gigabit Ethernet, gar keine Frage. Wenn Du das nicht hast, kann es die andere Seite nicht, oder Du hast was falsch konfiguriert.

Viele Grüße,
Jirka

[AndreasL]

Huch? Das finde ich ja mal spannend. Im Bintec steht der Gigabit Port auf Automatik und handelt nur 100Mit aus. Sollte da jemand ein falsches Kabel genommen haben? Das muss ich vor Ort noch mal prüfen.

Im Lancom, da hast du natürlich recht, steht es auch auf Automatik, im Dropdown Menü gibt es auch die GB Option. Da bin ich einfach über die Status Anzeige falsch abgebogen. Ich tausche mal das Kabel bei nächster Gelegenheit und sehe dann was passiert. Kann ja eigentlich nur daran liegen.

Gruß Andreas

[backslash]

Hi AndreasL

Eigentlich müsste es auch ohne Default Route gehen solange eine explizite Route vom Lancom zum Bintec besteht. Wie gesagt, ich kann vom Lancom den Mailserver hinter dem Bintec anpingen. Also müssten die Pakete doch ihren Weg auch dann finden wenn sie über den Wanport des Lancoms kommen und darüber zurück laufen. Zwischen Wan und Lancom ist NAT, zwischen Lancom und Bintec kein NAT. Da sollte eigentlich das Portmapping auf Internet (im Lancom) reichen.

nein! Du kannst zwar vom LANCOM aus den Mail-Server erreichen, weil der Bintec ja das Netz kennt, in dem das LANCOM steht und somit eine Route darauf hat. Wenn die Anfrage aber aus dem Internet über das LANCOM kommt, dann muß der Bintec auch die Default-Route auf das LANCOM legen - das sind simpelste Routing-Grundlagen! (Wenn der Bintec Multi-WAN-fähig ist, dann wird man ihm ggf. auch eine Konfiguration mit zwei Default-Routen beibrigen können - aber mit Bintec kenne ich mich nunmal nicht aus - daher kommt von mir auch nichts zum Bintec LTE-Modem)

BTW: Das NAT zum Internet setzt nicht die Adresse das anfragenden im Internet um, sondern die Adressen aus dem lokalen Netz in die öffentliche des LANCOMs

Gruß
Backslash

[AndreasL]

Dann hatte ich einen kleinen Denkfehler in Sachen Internetzugriff und Routing. Aber dafür haben wir ja das Forum hier, danke.

Der Bintec ist Multi Wan fähig und kann mit mehreren Default Routen umgehen. Wie bereits geschrieben werde ich das testen wenn ich vor Ort bin. Wenn ich Mist baue reicht ein physikalischer Neustart des Router solange die Config nicht abgespeichert ist. Änderungen sind solange temporär bis man sie explizit sichert. Ich werde dann berichten wenn ich den 2. Wan Port angelegt habe. Das erzeugt auch gleich die passenden Routen.

Für die Sache mit dem LTE Modem werde ich evt mal den alten Thread dazu wieder beleben. Das Modem selber kann man nicht konfigurieren. Es hat keine Shell und keine Gui. Die Konfiguration geschieht ausschließlich im Router über DHCP Optionen, Vlans und anderen Router Spezifischen Optionen. Es ist also schon in gewisser Weise ein Lancom Thema Aber wie gesagt, das machen wir dann mal in einem passenden Thread. Ist etwas sehr speziell. In einer alten c't war auch mal ein kurzer Artikel zu dem Gerät und wie man es universell einsetzt. Das läuft in jedem Lan wo man per DHCP Server Optionen übergeben kann. Damit wird u.a. die Pin der Sim Karte gesendet.