VoIP-Fehlerbehebung

Ursache

Wenn das H.323-Hilfsmodul zusammen mit den entsprechenden Firewall-Regeln oder DNAT-Regeln geladen wird und Audio oder Video weiterhin ausfallen oder nur in eine Richtung funktionieren, kann es sein, dass NAT auf Anwendungsebene nicht stattfindet.

Abhilfe

1. Stellen Sie über die CLI-Konsole eine Verbindung zur Firewall her.
2. Wählen Option 4 (Gerätekonsole).

3. Führen Sie den folgenden Befehl aus:

   system system_modules h323 unload 

4. Konfigurieren Sie ein transparentes Subnetz-Gateway. Siehe Sophos Firewall: Implementieren Sie transparente Subnetz-Gateways mit Proxy-ARP.

5. Starten Sie einen Videoanruf von einem Polycom-Gerät hinter der Firewall und prüfen Sie, ob es ordnungsgemäß funktioniert.

Zustand

Der UDP-Timeout-Wert führt dazu, dass VoIP-Anrufe abgebrochen werden oder eine schlechte Qualität aufweisen.

Ursache

Die Sophos Firewall hat einen standardmäßigen UDP-Timeout von 60 Sekunden, der für eine zuverlässige VoIP-Kommunikation niedrig sein kann. Wir empfehlen einen Timeout-Wert von 150 Sekunden. Erkundigen Sie sich bei Ihrem VoIP-Anbieter nach dem empfohlenen UDP-Timeout-Wert.

Abhilfe

Ändern Sie den aktuellen UDP-Timeout-Wert über die Befehlszeilenschnittstelle (CLI). Gehen Sie wie folgt vor:

1. Stellen Sie über die CLI-Konsole eine Verbindung zur Firewall her.
2. Wählen Option 4 (Gerätekonsole).

3. Geben Sie den folgenden Befehl ein:

   show advanced-firewall 

   Die Ausgabe zeigt den aktuellen UDP-Timeout-Wert neben UDP timeout stream.

   Hier ist ein Beispiel:

   console> show advanced-firewall Strict Policy : on FtpBounce Prevention : control Tcp Conn. Establishment Idle Timeout : 10800 UDP Timeout : 30 UDP Timeout Stream : 60 ... 

4. Geben Sie den folgenden Befehl ein, um das UDP-Timeout auf 150 Sekunden zu erhöhen:

   set advanced-firewall udp-timeout-stream 150 

Wenn Ihr Anbieter einen anderen Wert empfiehlt, verwenden Sie diesen.

Ursache

UDP-Flood-Einstellungen führen zu einem Rückgang des VoIP-Verkehrs.

Abhilfe

1. Melden Sie sich bei der Webadministratorkonsole an.
2. Gehe zu Einbruchschutz > DoS- und Spoofing-Schutz.
3. Unter DoS-Einstellungen, löschen Sie die Flagge anwenden Kontrollkästchen für UDP-Flut.
4. Testen Sie die VoIP-Verbindung.

5. Wenn diese Einstellung das VoIP-Problem behebt, senken Sie die UDP-Flood-Schutzwerte, bevor Sie das Flag erneut anwenden.

   Ein einzelner Wert funktioniert nur in bestimmten Umgebungen. Passen Sie die Werte an, bis Sie den optimalen Wert für Ihr VoIP-Setup gefunden haben.

Ursache

Die Firewall unterstützt mit ihrem SIP-Hilfsmodul SIP-Medienports im Bereich 1024-65535. Der Standardport ist UDP 5060.

Wenn Sie den SIP-Helper der Firewall laden und einen Medienport außerhalb dieses Bereichs festlegen, verwirft die Firewall die Pakete, und VoIP-Anrufe können möglicherweise nicht verbunden werden. Die Ereignisprotokolle zeigen die Ursache als Invalid Traffic.

Abhilfe

1. Melden Sie sich bei der CLI an und geben Sie ein 4 für Gerätekonsole.

2. Ändern Sie den SIP-Port mit dem folgenden Befehl:

   system system_modules sip load ports <custom_port> 

Zustand

Sie können einen Anruf tätigen und das empfangende Telefon klingelt, aber Sie hören keinen Ton.

Ursache

Dieser Zustand tritt ein, wenn der Anrufer in der RTP-Phase einer SIP-Verbindung keine Daten senden kann. Dies passiert häufig bei Verwendung eines VPN oder des Sophos Connect-Clients.

Hier ist ein Beispiel für diese Bedingung, wobei Alice die Anruferin und Boris der Empfänger ist.

Abhilfe

1. Gehe zu Regeln und Richtlinien > Firewall-Regeln.
2. Stellen Sie sicher, dass Sie eine Firewall-Regel für SIP konfiguriert haben.
3. Stellen Sie sicher, dass Sie das Netzwerk des Empfängers in Zielnetzwerke. Stellen Sie das Netzwerk des Empfängers auf „Beliebig“, wenn Sie jedes beliebige Telefon anrufen möchten.

Ursache

Site-to-Site-VPN, IPS oder beides auf Ihrer Firewall führen zu unterbrochenen oder qualitativ schlechten VoIP-Anrufen.

Abhilfe

1. Stellen Sie über die CLI-Konsole eine Verbindung zur Firewall her.
2. Wählen Option 4 (Gerätekonsole).

3. Geben Sie den folgenden Befehl ein, um die vorinstallierten IPS-Muster für SIP zu deaktivieren:

   set ips sip_preproc disable 

4. Wenn IPS-Muster deaktiviert sind, leert die Firewall die Verbindungen nicht, wenn IPsec-Tunnel aufgebaut werden. Geben Sie den folgenden Befehl ein:

   set vpn conn-remove-tunnel-up disable 

Zustand

Einige Telefone registrieren sich bei Ihrem PBX-Server mit der IP-Adresse der Firewall statt mit der IP-Adresse des Telefons.

Zum Beispiel ein Telefon mit einer IP-Adresse 192.168.20.12 registriert sich mit der IP-Adresse 192.168.1.5.

Ursache

Conntrack muss gelöscht werden.

Abhilfe

1. Klicken Protokollanzeige.
2. Klicken Filter hinzufügen.

3. Geben Sie die folgenden Werte an:

   1. Feld: Ziel-IP.
   2. Zustand: Ist.
   3. Wert: Geben Sie die IP-Adresse Ihres PBX-Servers ein.

4. Klicken Filter hinzufügen.

5. Stellen Sie sicher, dass für den Datenverkehr zu Ihrem PBX-Server sowohl für funktionierende als auch für nicht funktionierende Telefone die richtige Firewall-Regel verwendet wird.

6. Gehe zu Regeln und Richtlinien > Firewall-Regeln und suchen Sie die Firewall-Regel, die Ihren VoIP-Verkehr verwaltet.

   1. Vergewissern Sie sich, dass die Firewall-Regel das VoIP-Protokoll Ihres Telefons zulässt, entweder SIP oder H323.

7. Gehe zu Regeln und Richtlinien > Firewall-Regeln > NAT-Regeln und bestätigen Sie, dass die richtigen NAT-Regeln vorhanden sind und keine Konflikte bestehen.

8. Stellen Sie über die CLI-Konsole eine Verbindung zur Firewall her.

9. Wählen Option 4 (Gerätekonsole).

10. Führen Sie den folgenden Befehl aus, um den Status des SIP-Helpers zu überprüfen:

    system system_modules show 

    Wenn das SIP-Modul als geladen angezeigt wird, schalten Sie es mit dem folgenden Befehl aus:

    system system_modules sip unload 

11. Typ Ausfahrt , um die Gerätekonsole zu verlassen und zum CLI-Hauptmenü zurückzukehren.

12. Wählen 5. Geräteverwaltungund wählen Sie dann 3. Erweiterte Shell.

13. Löschen Sie den Conntrack-Eintrag, der der vom Telefon verwendeten falschen IP-Adresse entspricht, mit dem folgenden Befehl:

    conntrack -D --src <IP ADDRESS OF PHONE> --dst <IP ADDRESS OF PBX> -p tcp 

Sehen Sophos Firewall: Conntrack-Befehl löschen.