Glasvezel XS4ALL probleem inkomende telefonie RB2011

[adval]

Ik heb afgelopen weken druk bezig geweest met mijn RB2011
Ik heb bijna alles aan de gang
telefonie komt niet van XS4all af dus ik neem aan dat ik geen vlan hoef te gebruiken

Internet werkend
DHCP werkend
IPTV werkend
uitgaand telefonie werkend
inkomend telefonie niet werkend

Ik vermoed dat ik nog paar firewall regels mis en een forward
Wie kan mij verder op weg helpen ?

sorry dit is mijn eerste post en weet niet welke ubb codes ik moet gebruiken

gr Ad

code:

# jan/17/2017 19:34:14 by RouterOS 6.38
/interface bridge
add name=bridge-iptv
add arp=proxy-arp name=bridge-local
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp name="ether1 (gateway)" speed=\
    1Gbps
set [ find default-name=ether2 ] speed=1Gbps
set [ find default-name=ether6 ] name="ether6 (IPTV)"
/ip neighbor discovery
set "ether1 (gateway)" discover=no
set sfp1 discover=no
/interface vlan
add interface="ether1 (gateway)" name=vlan1.4 vlan-id=4
add interface="ether1 (gateway)" name=vlan1.6 vlan-id=6
/interface pppoe-client
add add-default-route=yes allow=pap,mschap2 disabled=no interface=vlan1.6 \
    keepalive-timeout=20 max-mru=1480 max-mtu=1480 name=pppoe password=kpn \
    user=[e-mail]
/ip neighbor discovery
set pppoe discover=no
set vlan1.6 discover=no
/ip neighbor discovery
set wlan1 discover=no
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=28 name=option28-broadcast value="'192.168.10.255'"
/ip dhcp-server option sets
add name=IPTV options=option28-broadcast
/ip pool
add name=thuisnetwerk ranges=192.168.0.40-192.168.0.99
/ip dhcp-server
add address-pool=thuisnetwerk authoritative=yes disabled=no interface=\
    bridge-local lease-time=1h30m name=dhcp-thuis
/routing bgp instance
set default disabled=yes
/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-iptv interface=vlan1.4
add bridge=bridge-iptv interface="ether6 (IPTV)"
add bridge=bridge-iptv interface=ether7
/ip address
add address=192.168.0.254/24 interface=bridge-local network=192.168.0.0
/ip dhcp-client
add add-default-route=special-classless default-route-distance=254 \
    dhcp-options=option60-vendorclass,hostname,clientid disabled=no \
    interface=vlan1.4 use-peer-dns=no use-peer-ntp=no
/ip dhcp-server config
set store-leases-disk=15m
/ip dhcp-server lease
add address=192.168.0.252 comment="FritzBox 7490 Kelder" mac-address=5C:49:79:4B:7F:12
/ip dhcp-server network
add address=192.168.0.0/24 dns-server=194.109.6.66,194.109.9.99 domain=\
    home.lan gateway=192.168.0.254 netmask=24 ntp-server=194.109.22.18
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d servers=\
    194.109.6.66,194.109.6.66,194.109.104.104
/ip firewall address-list
add address=192.168.0.0/24 list=trust
/ip firewall filter
add action=accept chain=input in-interface=pppoe protocol=icmp
add action=accept chain=input connection-state=related
add action=accept chain=input connection-state=established
add chain=input dst-port=5060 log=yes protocol=udp
add chain=input dst-port=10000-20000 log=yes protocol=udp
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe src-address=\
    192.168.0.0/16 to-addresses=0.0.0.0
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes sip-direct-media=no
set pptp disabled=yes
set udplite disabled=yes
set sctp disabled=yes
/ip service
set telnet disabled=yes
set ftp disabled=yes
set ssh disabled=yes
/ip traffic-flow
set cache-entries=4k
/ip upnp
set enabled=yes show-dummy-rule=no
/ip upnp interfaces
add interface=bridge-local type=internal
add interface=pppoe type=external
/lcd
set backlight-timeout=5m
/system clock
set time-zone-name=Europe/Amsterdam

[ Voor 1% gewijzigd door adval op 17-01-2017 20:30 . Reden: toevoeging ]

[Thralas]

Nu alleen nog wat meer details over je telefonieaansluiting en de acties die je hebt ondernomen om dat werkend te krijgen.

[adval]

de telefoonprovider is voys.nl
zit gewoon op poort 5060

/ip firewall filter
add chain=input dst-port=5060 log=yes protocol=udp
add chain=input dst-port=10000-20000 log=yes protocol=udp

bovenstaand toegevoegd om uitgaand bellen mogelijk te maken
in de FAQ van voys staat veel info maar niets voor mikrotik

[donny007]

De input chain is voor verkeer dat richting de router zelf gaat (icmp van buitenaf, ppoe, vpn). Om verkeer naar je lokale netwerk toe te staan moet je regels in de forward chain aanmaken.

Vreemd genoeg is de forward chain in jouw config geheel leeg... Standaard hoort daar iets te staan om fasttrack te laten werken (met als laatste regel een drop). Zonder regels wordt er niets gefilterd (default policy is accept).

Is de geposte config wel compleet?

Reset anders de firewall config naar default, en bouw die naar wens uit.

[ Voor 20% gewijzigd door donny007 op 17-01-2017 22:38 ]

[adval]

de geposte post is de complete post
echter zal deze niet kompleet zijn

bedankt voor de hint waar ik het ong moet zoeken

ik heb onderstaand toegevoegd is dit juist ?

code:

/ip firewall filter
add action=accept chain=input in-interface=pppoe protocol=icmp
add action=accept chain=input connection-state=related
add action=accept chain=input connection-state=established
add chain=input dst-port=5060 log=yes protocol=udp
add chain=input dst-port=10000-20000 log=yes protocol=udp
add action=fasttrack-connection chain=forward connection-state=established,related
add action=accept chain=input connection-state=established,related
add action=drop chain=input connection-state=invalid
add action=accept chain=input in-interface=bridge-local
add action=drop chain=input
add action=fasttrack-connection chain=forward connection-state=established,related
add action=accept chain=forward connection-state=established,related
add action=drop chain=forward connection-state=invalid
add action=accept chain=forward in-interface=bridge-local
add action=drop chain=forward

[ Voor 79% gewijzigd door adval op 17-01-2017 22:46 ]

[donny007]

Dit is de default config voor de firewall:

code:

/ip firewall filter
add action=accept chain=input comment="accept ICMP" protocol=icmp
add action=accept chain=input comment="accept established,related" \
    connection-state=established,related
add action=drop chain=input comment="drop all from WAN" in-interface=\
    ether1-gateway

add action=fasttrack-connection chain=forward comment=fasttrack \
    connection-state=established,related
add action=accept chain=forward comment="accept established,related" \
    connection-state=established,related
add action=drop chain=forward comment="drop invalid" connection-state=invalid
add action=drop chain=forward comment="drop all from WAN not DSTNATed" \
    connection-nat-state=!dstnat connection-state=new in-interface=\
    ether1-gateway log=yes

/ip firewall nat
add action=masquerade chain=srcnat comment="Default masquerade" \
    out-interface=ether1-gateway

Zonder drop regels aan het einde van je input en forward chains is de firewall volledig nutteloos, de default policy in RouterOS is accept.

De DNS server van de router is nu ook van buitenaf te benaderen, een kwaadwillige kan dat inzetten voor een DNS Amplification DDoS.

Edit:
De nieuwe config ziet er nogal chaotisch uit, de fasttrack regel staat er ook dubbel in.

Beter alles verwijderen en het stukje hierboven (minus de NAT-regel) aanmaken, met commentaar wordt het duidelijker.

Daarna kun je de firewall debuggen/uitbreiden om alle services werkend te krijgen.

[ Voor 15% gewijzigd door donny007 op 17-01-2017 23:09 ]

[_JGC_]

Weet niet of je router iets als SIP helper of SIP ALG heeft, die moeten uit, geeft alleen maar ellende met VoIP.

[Verwijderd]

Je kan het ook op een andere methode oplossen: Sluit de VoIP adapter rechtstreeks op de modem van XS4ALL aan.

Oh, wacht.... je hebt glas.... Heb je die rechtstreeks in je RB2011? Of zit er een soort glas --> UTP converter tussen met DHCP?

[adval]

set sip disabled=yes sip-direct-media=no

deze sip helper staat al reeds uit

[Thralas]

Oh, SIP.

Dan mist TS een dstnat rule om de inkomende SIP-poort te forwarden naar de PBX (?), lijkt me..

[donny007]

TS heeft nu geen dst-nat/port forwards in zijn config staan.

Voys is er ook niet helemaal duidelijk over: in de FAQ staat dat het niet nodig is om poorten te forwarden, maar in de technische documentatie wordt het regelmatig genoemd.

TS zal eerst de basis van zijn firewall goed moeten configureren... Daarna kan er geëxperimenteerd worden met port forwards.

[adval]

volgens mij is de firewall nu werkend tenminste minimaal

code:

/ip firewall filter
add action=accept chain=input comment="accept ICMP" protocol=icmp
add action=accept chain=input comment="accept established,related" connection-state=established,related
add action=fasttrack-connection chain=forward comment=fasttrack connection-state=established,related
add action=accept chain=forward comment="accept established,related" connection-state=established,related
add action=drop chain=forward comment="drop invalid" connection-state=invalid
add action=drop chain=input comment="comment=\"drop all from WAN\"" in-interface=pppoe
add action=drop chain=forward comment="drop invalid" connection-state=invalid
add action=drop chain=forward comment="comment=\"drop all from WAN not DSTNATed\"" connection-nat-state=!dstnat connection-state=new in-interface=\
    pppoe log=yes
/ip firewall nat
add action=masquerade chain=srcnat comment="comment=\"Default masquerade\"" out-interface=pppoe src-address=192.168.0.0/24 to-addresses=0.0.0.0
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes sip-direct-media=no
set pptp disabled=yes
set udplite disabled=yes
set sctp disabled=yes

[donny007]

Dat ziet er al beter uit!

Kun je nog wat meer vertellen over de telefonie-setup? Toestellen, centrale, etc.

Zoals @Thralas aangaf is de kans groot dat je nog een paar poorten moet forwarden (dst-nat regel aanmaken).

[adval]

de telefonie bestaat uit fritzbox 7490 in client mode (bridge mode dus) voor telefonie en wifi
toestellen zijn analoog toestel en een persoonsalarmering )

ik mis volgens mij ook nog paar regels
ik heb bovenstaand script zelf proberen op te bouwen door veel zoeken en proberen te begrijpen wat elk stukje doet en blijven steken met het telefonie stuk alleen nu werkt de persoonsalarmering ook niet meer al een paar dagen uitbellen gaat alleen de bel over geen audio dus die mist ook een regel

ik heb onderstaande regel toegevoegd (Laatste)

code:

/ip firewall nat
add action=masquerade chain=srcnat comment="comment=\"Default masquerade\"" out-interface=pppoe src-address=192.168.0.0/24 to-addresses=0.0.0.0
add action=dst-nat chain=dstnat dst-port=5060 in-interface=pppoe protocol=udp to-addresses=192.168.0.252 to-ports=5060

[Verwijderd]

De 7490 moet je NIET in bridge mode zetten. Dan gaat VoIP niet werken.

Zet de Fritzbox gewoon in router modem (zoals het initieel is ingesteld). Sluit je Routerboard daarop aan, en stel de juiste DHCP scopes in etc....

Dan wordt de modem puur als gateway en VOIP kastje gebruikt. En gaat buiten je Mikrotik om.

Draait bij mij al meer dan 7 jaar. Rete stabiel.

[adval]

ik zou niet weten waarom een 7490 niet in bridge mode zou werken
fungeert dan gewoon als een fxs adapter
ik wil een MT rechtstreeks op de glasvezel hebben.

moet alleen nog paar regels toevoegen en hoop dat er iemand mij wil ondersteunen

[Verwijderd]

Als je een modem in bridge mode zet, dan wordt het een "gewone" L2 doorgeefluik. Dus het publieke IP wordt één op één doorgestuurd naar je MIkrotik. Geen porbleem, want die Mikrotik handelt het IP gedeelte af.

De 7490 blijft de fysieke verbinding houden. Maar doordat hij in bridge mode gaat, is er geen NAT of IP verkeer mogelijk via de Fritz. Dus ook de ingebouwde fxs poort krijgt geen IP, en weet niet hoe deze "naar buiten" moet.

Je Fritz kan nog wel een lokaal IP hebben (voor management doeleinden), maar de fxs poort heeft geen gateway.

[adval]

de fritzbox krijgt een ipnr van de mikrotik en dus ook een gateway/dns adres
dat moet gewoon werken

ik ben vandaag echter achter een ander probleem gestuit wat de fritzbox doet afvallen
de fritzbox kan alleen enkele voip accounts aan en geen trunklijn met meerdere nrs eraan

de voys lijn gaat dus naar de asterisk centrale

daar ben ik morgen de hele dag zoet mee denk ik

[Verwijderd]

Wacht eens even. Je zegt dat de Fritzbox een IP van de Mikrotik krijgt. Dan zit deze Fritz dus ACHTER de Mikrotik? Waarom moet hij dan in bridge modus? En welk modem of apparatski onderhoudt jouw glasvezel verbinding? Is dat zo'n grijze box in de meterkast waar glas inkomt van buiten en UTP uit komt?

[adval]

ja mikrotik hangt aan de glasvezelmodem via ethernet ja dat is een wit kastje glas in utp uit
500 mb /500mb met fastrack aan in MK 500 mb /702mb

[Verwijderd]

Nou, dat witte kastje heeft ook een IP adres zeg 192.168.1.254. Of hij nou een DHCP aan boord heeft of niet, maakt niet uit. Dat is dus de gateway.

De Fritz sluit je daarop aan op poort 2 bijvoorbeeld. Stel je Fritz in op een vast IP adres van 192.168.1.100 met gateway 192.168.1.254 en DNS: 8.8.8.8 en 8.8.4.4.

Op poort 1 van dat witte kastje komt je MIkrotik, en doet dan de rest.


Klaar.

[adval]

dat witte kastje heeft geen ip ik moet met de fritzbox of MT een PPOE verbinding opzetten naar xs4all.nl

code:

/interface pppoe-client
add add-default-route=yes allow=pap,mschap2 disabled=no interface=vlan1.6 \
    keepalive-timeout=20 max-mru=1480 max-mtu=1480 name=pppoe password=kpn \
    user=[e-mail]

[Zapp-it]

adval schreef op vrijdag 20 januari 2017 @ 12:41:
dat witte kastje heeft geen ip ik moet met de fritzbox of MT een PPOE verbinding opzetten naar xs4all.nl

code:

/interface pppoe-client
add add-default-route=yes allow=pap,mschap2 disabled=no interface=vlan1.6 \
    keepalive-timeout=20 max-mru=1480 max-mtu=1480 name=pppoe password=kpn \
    user=[e-mail]

Misschien heb je hier wat aan.
Mijn opstelling met een MT MB3011 en een 7490 voor voip van XS4ALL:
7490 -> Internet -> Account information -> Internet connection = Other Internet Service provider
7490 -> Telephony -> Telephone numbers -> Keep port forwarding of the inet router enabled for tel = enabled

Regels MT MB3011:

code:

[ /ip firewall nat add chain=dstnat in-interface=$pppoeinterfacename action=dst-nat to-addresses=ipvan7490 protocol=tcp dst-port=5060 to-ports=5060 comment="VOIP." disabled=no ]
[ /ip firewall nat add chain=dstnat in-interface=$pppoeinterfacename action=dst-nat to-addresses=ipvan7490 protocol=udp dst-port=5060 to-ports=5600 disabled=no ]

[Verwijderd]

De Fritzbox kan OOK een PPPoE verbinding opzetten. En ja, je mag twee PPPoE verbindigen opzetten naar de provider.

[adval]

Telefonie werkt inmiddels naar tevredenheid

ik wil echter vanaf het internet poort 8291 kunnen benaderen vanuit bepaalde ip adressen
ik heb een firewall nat regel toegevoegd zoals ik dat gedaan heb met voip
wil alleen niet werken

wat doe ik fout ?

code:

/ip firewall filter
add action=accept chain=input comment="accept ICMP" protocol=icmp
add action=accept chain=input comment="accept established,related" connection-state=established,related
add action=fasttrack-connection chain=forward comment=fasttrack connection-state=established,related
add action=accept chain=forward comment="accept established,related" connection-state=established,related
add action=drop chain=forward comment="drop invalid" connection-state=invalid
add action=drop chain=input comment="comment=\"drop all from WAN\"" in-interface=pppoe
add action=drop chain=forward comment="drop invalid" connection-state=invalid
add action=drop chain=forward comment="comment=\"drop all from WAN not DSTNATed\"" connection-nat-state=!dstnat connection-state=new in-interface=\
    pppoe log=yes
/ip firewall nat
add action=masquerade chain=srcnat comment="comment=\"Default masquerade\"" out-interface=pppoe src-address=192.168.0.0/24 to-addresses=0.0.0.0
add action=dst-nat chain=dstnat dst-port=6060 in-interface=pppoe protocol=udp to-addresses=192.168.0.250 to-ports=6060
add action=dst-nat chain=dstnat dst-port=10000-20000 in-interface=pppoe protocol=udp to-addresses=192.168.0.250 to-ports=10000-20000
add action=dst-nat chain=dstnat dst-port=8291 in-interface=pppoe protocol=udp to-addresses=192.168.0.254 to-ports=8291
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes sip-direct-media=no
set pptp disabled=yes
set udplite disabled=yes
set sctp disabled=yes

[nescafe]

protocol=udp

[adval]

ik heb de regel op TCP veranderd

add action=dst-nat chain=dstnat dst-port=8291 in-interface=pppoe protocol=TCP to-addresses=192.168.0.254 to-ports=8291

kan mij iemand vertellen hoe ik dat moet oplossen
ik heb inmiddels protocol op tcp gezet
ik kan nu als ik ip aanpas naar een andere MT in hetzelfde netwerk dat werkt wel

alleen als ik de gateway MT pak die dus aan de PPOE hangt kan ik niet inloggen

[ Voor 116% gewijzigd door adval op 22-01-2017 20:32 ]

[nescafe]

Je vraag was: "wat doe ik fout ?"

[nescafe]

Ah, dan wil je winbox access naar de router zelf toestaan.

Dstnat naar het eigen ip-adres lijkt niet handig, kun je niet beter een accept op de input-chain toevoegen?

[adval]

je bedoeld dit dus

[code]
/ip firewall filter
add action=accept chain=input dst-address=192.168.0.254 dst-port=8291 in-interface=pppoe protocol=tcp src-address-list=support

dit werkt dus
iedereen bedankt voor meedenken