FreeSwitch setup With ASG

Sure you can just add nat filters:
Source "Any"
Service "UDP 5060-5090" (define manual)
Destination "External Interface Address"

NAT Mode: DNAT

Destination: "Internal PBX Address"
Destination Service: "UDP 5060-5090" (define manual)"

Automatic Firewall Rule -> YES

same for the other ports.
---

Maybe you have also to set your external firewall IP in the freeswitch config.

!! But be aware. This configuration may be a big security concern!! 
Because every external ip can connect your ip pbx. You may add aditional Packet filters for securing your configuration. Hopefully you know what you do. It should just be used for testing purposes only!

I would prefer to use TLS for the external Phones, better connecting them via a VPN connection. And then i would use the voip proxy function of astaro, limiting the external connections to your voip provider's  servers.

Sure you can just add nat filters:
Source "Any"
Service "UDP 5060-5090" (define manual)
Destination "External Interface Address"

NAT Mode: DNAT

Destination: "Internal PBX Address"
Destination Service: "UDP 5060-5090" (define manual)"

Automatic Firewall Rule -> YES

same for the other ports.
---

Maybe you have also to set your external firewall IP in the freeswitch config.

!! But be aware. This configuration may be a big security concern!! 
Because every external ip can connect your ip pbx. You may add aditional Packet filters for securing your configuration. Hopefully you know what you do. It should just be used for testing purposes only!

I would prefer to use TLS for the external Phones, better connecting them via a VPN connection. And then i would use the voip proxy function of astaro, limiting the external connections to your voip provider's  servers.

How would i configure the proxy?
I wanted to avoid it because, a) i dont know it, b) I dont understand how it works.

Security is a big concern, if the proxy helps then it would be smart to use it.

Can you give me some details how to set it up, using my outlined network.

Take a quick look at the interface, then read the in-line help page.  There's only a couple of things to configure, so it is quite intuitive.  Look through the documentation for your PBX and see if there are any warnings against using Cisco SIP fixup (most PBX vendors will provide some guidance on using Cisco, it being so ubiquitous).  If they say don't use Cisco SIP fixup, then you won't want to use the VOIP proxy.  I take it that 

RTP (16384-32768) UDP

 is used for client phone communication with the PBX.  If this is the case and you have external client phones, then you'll still need to follow the steps from KoC above.

How would i configure the proxy?
I wanted to avoid it because, a) i dont know it, b) I dont understand how it works.

Security is a big concern, if the proxy helps then it would be smart to use it.

Can you give me some details how to set it up, using my outlined network.

One important part are the "remote extensions". Are they connecting via a vpn? 
If not and if they have dynmic ip adresses, then it get's more difficult to secure your pbx.

If not and if they have dynmic ip adresses, then it get's more difficult to secure your pbx

All of the IP PBXs that I've used have some means to register allowed phones by MAC address.  Your PBX and phones may also have other connection security measures such as username/passwords.

If I were you, I'd also look at if the phones/PBX support customizing of the port range.  16384-32768 is massive.  Depending on the number of phones that you have, reducing this usable range would be a good thing if possible.

One important part are the "remote extensions". Are they connecting via a vpn? 
If not and if they have dynmic ip adresses, then it get's more difficult to secure your pbx.

All external phone are locked down when it comes to registering to the PBX.
--well as best as I hhave known how.
-mac address
-complex username/password combination
-use of Fail2Ban (is there anything like this in this product)

I have not had an incident; security breach in a long time. Alway looking to improve.

I dont utilize VPN and I have yet to success set one up that just works. (hoping this can change)

Sure you can just add nat filters:
Source "Any"
Service "UDP 5060-5090" (define manual)
Destination "External Interface Address"

NAT Mode: DNAT

Destination: "Internal PBX Address"
Destination Service: "UDP 5060-5090" (define manual)"

Automatic Firewall Rule -> YES

same for the other ports.
---

Maybe you have also to set your external firewall IP in the freeswitch config.

!! But be aware. This configuration may be a big security concern!! 
Because every external ip can connect your ip pbx. You may add aditional Packet filters for securing your configuration. Hopefully you know what you do. It should just be used for testing purposes only!

I would prefer to use TLS for the external Phones, better connecting them via a VPN connection. And then i would use the voip proxy function of astaro, limiting the external connections to your voip provider's  servers.

Ok, now this is progress. Thank you

FreeSwitch uses uPnP; to auto magically map ports, determine external IP etc.

I will have to set all those manually; a key reason I wanted explanations on how ASG interprets rules.
External it is set in the PBX(FreeSwitch) config

I am confused about something else.

Why is it that all 'Services' are set by default to allow (1:65535->80)?

Is it the same if i configure them to be (80->80)? More explicit.

No.  Source ports are chosen randomly by the sending system, which you have no control over.

so dont set them explicitly