Skip to main content
Warum O2
Warenkorb
 Service
Gelöst

403 bei SIP Proxies?

  • April 20, 2020
  • 17 Antworten
  • 812 Aufrufe
M
Besucher:in

Moin,

 

ich habe endlich einmal die HomeBox eingemottet und meinen OpenWrt-Router direkt via VDSL-Modem an die BSA-Leitung gehängt. Zur Telefonie möchte ich ein Gigaset S950A Go verwenden. Das Telefon kann sich auch einwählen und ich kann raustelefonieren, ich habe aber die üblichen Probleme mit eingehenden Gesprächen.

Daher habe ich auf meinem Router einen SIP-Proxy (siproxd) installiert und konfiguriert, in der Hoffnung dass es damit besser wird. Aber im Gegenteil: Sobald ich im Telefon den Proxy aktiviere (Outbound-Proxymodus: Immer) bekommt es plötzlich einen 403er Fehler. Wenn ich im Telefon den Proxy deaktiviere (Outbound-Proxymodus: Nie) funktioniert alles wieder wie vorher.

 

Ich habe da mal etwas rumprobiert (siehe unten) und es sieht für mich so aus, als ob der o2 SIP-Server keine SIP-Proxies mag: Oder konkreter: Nicht mehr als einen Via Header. Ich konnte dazu nichts konkretes finden; ist das bekannt (ich habe da so einen Verdacht warum das so sein könnte) oder bin ich auf der falschen Spur?

 

Um das herauszufinden habe ich mir via tcpdump auf dem Router angeschaut die wie SIP-Pakete so aussehen. Wenn das Telefon direkt redet sieht es so aus und es kommt ein 401er für die Anmeldung:

17:43:34.637481 IP (tos 0x88, ttl 128, id 46872, offset 0, flags [none], proto UDP (17), length 563)

    198.18.0.21.5060 > 213.20.127.17.5060: [udp sum ok] SIP, length: 535

        REGISTER sip:sip.alice-voip.de SIP/2.0

        Via: SIP/2.0/UDP 198.18.0.21:5060;branch=z9hG4bKe794096a1ae73dc5d7bed42472860ce;rport

        From: "+494000000000" <sip:494000000000@sip.alice-voip.de>;tag=3726595116

        To: "+494000000000" <sip:494000000000@sip.alice-voip.de>

        Call-ID: 2628455194@77_0_187_220

        CSeq: 96 REGISTER

        Contact: <sip:494000000000@198.18.0.21:5060>

        Max-Forwards: 70

        User-Agent: S850A GO/42.248.00.000.000

        Expires: 1800

        Allow: INVITE, ACK, CANCEL, BYE, OPTIONS, INFO, SUBSCRIBE, NOTIFY, REFER, UPDATE

        Content-Length: 0

17:43:34.738728 IP (tos 0x68, ttl 248, id 24508, offset 0, flags [DF], proto UDP (17), length 608)

    213.20.127.17.5060 > 198.18.0.21.5060: [udp sum ok] SIP, length: 580

        SIP/2.0 401 Unauthorized 11030030330

        Via: SIP/2.0/UDP 198.18.0.21:5060;received=77.8.247.20;rport=5060;branch=z9hG4bKe794096a1ae73dc5d7bed42472860ce

        To: "+494000000000" <sip:494000000000@sip.alice-voip.de>;tag=h7g4Esbg_dfc5b7820d4247a8b0de9ff2c30fd98f

        From: "+494000000000" <sip:494000000000@sip.alice-voip.de>;tag=3726595116

        Call-ID: 2628455194@77_0_187_220

        CSeq: 96 REGISTER

        Service-Route: <sip:213.20.127.17:5060;transport=udp;lr>

        WWW-Authenticate: Digest realm="ims.telefonica.de",nonce="2B3D0A2FD28D9C5E00000000A4B2935C",algorithm=MD5,qop="auth"

        Content-Length: 0

Sobald aber der Proxy dazwischen sitzt gibt es einen 403er:
16:49:32.847120 IP (tos 0x0, ttl 64, id 19644, offset 0, flags [DF], proto UDP (17), length 703)

    192.168.255.2.5060 > 213.20.127.17.5060: [udp sum ok] SIP, length: 675

        REGISTER sip:sip.alice-voip.de SIP/2.0

        Via: SIP/2.0/UDP 77.8.247.20:5060;branch=z9hG4bKd0d2386d220a002dc20973fde9550988

        Via: SIP/2.0/UDP 198.18.0.21:5060;branch=z9hG4bK4d5108698fc5ed5e25d0a438eead96d0;rport

        From: "+494000000000" <sip:494000000000@sip.alice-voip.de>;tag=2998873818

        To: "+494000000000" <sip:494000000000@sip.alice-voip.de>

        Call-ID: 2628455194@77_0_187_220

        CSeq: 84 REGISTER

        Contact: <sip:494000000000@77.8.247.20>

        Allow: INVITE

        Allow: ACK

        Allow: CANCEL

        Allow: BYE

        Allow: OPTIONS

        Allow: INFO

        Allow: SUBSCRIBE

        Allow: NOTIFY

        Allow: REFER

        Allow: UPDATE

        Max-forwards: 69

        User-agent: S850A GO/42.248.00.000.000

        Expires: 180

        Content-Length: 0

16:49:32.861549 IP (tos 0x68, ttl 249, id 24572, offset 0, flags [DF], proto UDP (17), length 458)

    213.20.127.17.5060 > 198.18.0.21.5060: [udp sum ok] SIP, length: 430

        SIP/2.0 403 Forbidden

        Via: SIP/2.0/UDP 77.8.247.20:5060;branch=z9hG4bKd0d2386d220a002dc20973fde9550988

        Via: SIP/2.0/UDP 198.18.0.21:5060;rport;branch=z9hG4bK4d5108698fc5ed5e25d0a438eead96d0

        To: "+494000000000" <sip:494000000000@sip.alice-voip.de>;tag=id8xk7u88voyrxgk5h4mmyu1p

        From: "+494000000000" <sip:494000000000@sip.alice-voip.de>;tag=2998873818

        Call-ID: 2628455194@77_0_187_220

        CSeq: 84 REGISTER

        Content-Length: 0

 

Sobald ich mir diesen Request schnappe, den zweiten Via-Header entferne (und die branch und Call-Id Token anpasse) und via netcat an sip.alice-voip.de schicke bekomme ich auch hier einen 401.

Lösung von schluej

Moin Moin,

401 = Passwort falsch

403 = User Name falsch

Der SIP Username ist auch die Rufnummer/Anmeldename/ Benutzername !

Proxy frei lassen wenn möglich, gibt es bei O2 nicht.

 

 

17 Antworten

Denner
Legende
Forum|alt.badge.img+40
  • Denner
  • Legende
  • April 20, 2020

Kauf dir eine fritzbox 7590

 

42! 07.99
M
Besucher:in
  • msq
  • Autor
  • Besucher:in
  • April 21, 2020

Kauf dir eine fritzbox 7590

 


Sehr hilfreich.

o2_Larissa
  • o2_LarissaTeam
  • Team
  • April 29, 2020

Hay hay @msq,

 

da es sich bei deinem Router nicht um ein von uns vertriebenes Modell handelt, wir daher keine Informationen über Spezifikationen, Erfahrungswerte etc. haben, wende dich bitte an den Hersteller bezüglich der Erstkonfiguration.

Vielleicht haben aber noch andere Kunden Erfahrungen mit dem Gerät gemacht und können dir bei den Einstellungen helfen.

 

Liebe Grüße

Larissa

Klaus_VoIP
Legende

Beachte bitte, das das Modem und der Router am Problem aktiv mitwirken können. Dazu versuchsweise Firewall abschalten oder DMZ einrichten. Gibt eine ALG-Einstellung zu Voip im OpenWRT? Das war hier schon oft ein heftiger Kampf mit solchen Bastellösungen. Beispiel:

https://hilfe.o2online.de/router-software-internet-telefonie-34/voip-mit-gigaset-n510-ip-pro-an-eigenem-router-keine-anrufe-485151

Meine persönlichen Meinungsäußerungen als Kunde sind NICHT gesponsert und stellen nur meine unverblümte Meinung dar! Dafür erfolgen alle Inhalte pro bono publico. ;-)
Denner
Legende
Forum|alt.badge.img+40
  • Denner
  • Legende
  • April 29, 2020

Kauf dir eine fritzbox 7590

 


Sehr hilfreich.

Deswegen schrieb ich es. Funktioniert 100%!
 

42! 07.99
schluej
Legende
  • schluej
  • Lösung
  • April 29, 2020

Moin Moin,

401 = Passwort falsch

403 = User Name falsch

Der SIP Username ist auch die Rufnummer/Anmeldename/ Benutzername !

Proxy frei lassen wenn möglich, gibt es bei O2 nicht.

 

 

Live long and prosper 🖖
o2_Matze
Klaus_VoIP
o2_Lars
Droggelbecher
Legende
Forum|alt.badge.img+21

@msq Magst du berichten wie der aktuelle Stand ist?

o2_Lars
schluej
M
Besucher:in
  • MrHajo
  • Besucher:in
  • September 2, 2020

Für mich sieht es so aus als würde sich der SIP server von O2 nicht richtig verhalten: Sobald mehr als ein Via Header im REGISTER vorkommt wird die Anfrage mit einem 403 Forbidden angelehnt. Dieses Verhalten beschreiben die Hersteller des “siproxd” SIP-Proyxs in den releasenotes anhand eines anderen SIP-Providers: (http://siproxd.sourceforge.net/index.php?op=relnotes im Anschnitt “Known interoperability issues with SIP service providers”). In dem Zusammenhand wird auch darauf hingewiesen, dass die Verwendung von mehreren Via Headern im Sinne des RFC3261 ist. D.h. ein Sip server sollte diese zulassen.

Liebe Verantwortliche bei O2: Können sie bitte mehrere Via Header im REGISTER zulassen und damit allen, die keine Fritzbox verwenden die Nutzung ihrer Dienste erleichtern?

Vielen Dank,

MrHajo

Klaus_VoIP
Legende
  • Klaus_VoIPLegende
  • September 2, 2020

Liebe Verantwortliche bei O2: Können sie bitte mehrere Via Header im REGISTER zulassen und damit allen, die keine Fritzbox verwenden die Nutzung ihrer Dienste erleichtern?

Eher rennt Merkel nackt um den Eifelturm …

Kein Provider, der DSL & Telefonie im Paket anbietet hat ein Interesse Interoperabilität herzustellen! 

Beleg: diverse Tricks mit DNS, bewusst verhinderte nomadische Nutzung, abweichendes RTP-Porthandling  usw. 
Hat aber weniger mit o2 zu tun, sondern ist ein berechtigtes (?) Interesse den Missbrauch der Leistung zu verhindern.  

Meine persönlichen Meinungsäußerungen als Kunde sind NICHT gesponsert und stellen nur meine unverblümte Meinung dar! Dafür erfolgen alle Inhalte pro bono publico. ;-)
schluej
Legende
  • schluej
  • September 2, 2020

@MrHajo Also es laufen auch andere SIP Geräte ohne Probleme.

Ich nutze eine nicht Fritzbox und ein SIP Telefon die ohne Probleme mit dem SIP Server von O2 laufen.

Live long and prosper 🖖
o2_Lars
M
Besucher:in
  • MrHajo
  • Besucher:in
  • September 2, 2020

@Klaus_VoIP Danke für deine Einschätzung.

@schluej Klar sollte das mit einer Kombination aus STUN & portweiterleitung in deinem Router irgendwie zu machen sein. Was ich machen möchte ist einen SIP proxy verwenden, wie SIP das vorsieht. Der einzige Grund warum das bei O2 nicht geht ist, dass sie Anfragen ablehnen nach scheinbar willkürlichen Regeln. Sind die Regeln irgendwo dokumentiert? Gibt es ein Dokument in dem ich nachlesen kann welches subset von SIP bei O2 unterstützt wird?

Es geht wohlgemerkt hierbei nicht um “nomadische Nutzung” oder Missbrauch der Leistungen. Ich möchte einfach nur mein SIP-Telefon sinnvoll hinter NAT betreiben.

Bei der Gelegenheit ist mir aufgefallen dass O2 keinen E-Mail Kontakt angibt an den ich mich bei technischen Fragen wenden kann. Es gibt dieses Forum, den Chatbot und die Hotline aber keine Möglichkeit technische Fragen los zu werden?

Denner
Legende
Forum|alt.badge.img+40
  • Denner
  • Legende
  • September 2, 2020

O2 hat keine sip Telefonie sondern IP Telefonie mit einem kastrierten SIP Protokoll.

 

42! 07.99
schluej
Legende
  • schluej
  • September 2, 2020

@MrHajo Ich habe weder STUN noch Portweiterleitung aktiviert/eingerichtet.

Live long and prosper 🖖
Klaus_VoIP
Legende
  • Klaus_VoIPLegende
  • September 2, 2020

Was ich machen möchte ist einen SIP proxy verwenden, wie SIP das vorsieht. Der einzige Grund warum das bei O2 nicht geht ist, dass sie Anfragen ablehnen nach scheinbar willkürlichen Regeln.

Ein SIP-Proxy hat die identischen Anforderungen wie nomadische Telefonie und Cloud-Telefonie. Bildet man eine Telefonanlage irgendwo virtuell ab, dann ist der Zugang a)leicht für jedermann und b)unkontrollierbar vom Telefonanbieter. Dann noch eine Flat nach Ost-Europa und die Leitungen glühen. Alles schon passiert und in Einzelfällen in Studentenkreisen noch praktiziert. Daher verwendet o2 im Prinzip das SIP-Protokoll, aber ohne die Flexibilität der vollen SIP-Möglichkeiten. Ist bei Vodafone nicht anders und bei Sipgate sind Cloud-PBX auch vertraglich verboten. 

Halte ich bei kalkulierten 5€ als Telefonie-Allnet-Flat für verständlich.  Für solche Aktionen sind Delmont etc. besser geeignet.  

Kleiner Tipp am Rande - positioniert man den Proxy im o2-Netz und macht ihn dort zugänglich, funktioniert es auch. Nur DNS für VoIP muss über o2 laufen. :wink:

Meine persönlichen Meinungsäußerungen als Kunde sind NICHT gesponsert und stellen nur meine unverblümte Meinung dar! Dafür erfolgen alle Inhalte pro bono publico. ;-)
M
Besucher:in
  • MrHajo
  • Besucher:in
  • September 3, 2020

Kleiner Tipp am Rande - positioniert man den Proxy im o2-Netz und macht ihn dort zugänglich, funktioniert es auch. Nur DNS für VoIP muss über o2 laufen. :wink:

Mein proxy läuft im O2 Netz und für das DNS verwende ich einen forward zu den O2 resolvern. Nur fügt siproxd halt einen zusätzlichen Via Header ein. Wenn ich das richtig verstanden habe sind die Via Header quasi der path den ein Packet nimmt und der oberste Via ist der next-hop. Den neuen Header braucht der SIP server und den alten braucht der proxy.

Ich verstehe nicht wie man ohne diesen zusätzlichen Header einen Proxy betreiben kann. Ein Tipp?

Klaus_VoIP
Legende
  • Klaus_VoIPLegende
  • September 3, 2020

Geschäftskunden mit 2 Betriebsstätten(BS) richten sich das so ein:

BS1 unter 069 hat eine Fritzbox mit O2-VoIP und Umsetzung auf einen Registrar, der auf o2 umsetzt.

BS2 mit Ortsnummer 0351 will aber unter 069 telefonieren. Also baut man VPN zu BS1 auf, connected Telefon zum Registrar auf der Fritzbox und telefoniert über 069.  

:wink:  

 

Meine persönlichen Meinungsäußerungen als Kunde sind NICHT gesponsert und stellen nur meine unverblümte Meinung dar! Dafür erfolgen alle Inhalte pro bono publico. ;-)
M
Besucher:in
  • MrHajo
  • Besucher:in
  • September 4, 2020

@MrHajoIch habe weder STUN noch Portweiterleitung aktiviert/eingerichtet.

Mhh. OK. Wie ist denn dein Setup? Ich war der Meinung, dass ich hinter NAT entweder STUN und Port Magie machen muss oder eben einen proxy einsetzen...

Allgemeine Nutzungsbedingungen der O₂ CommunityAccessibility statement
© Telefónica Germany GmbH & Co. OHG Telefónica