Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 23 replies
  • Subscribers 2 subscribers
  • Views 40459 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SIP Trunk and SIP Phones coming in over VPN

MeMyselfandSophos
Hello! 

I´m a newbie with sophos UTM9, and after lots and lots of angry customers from cisco with there smaller ASA´s I was looking into a alternative solution to ASA5505 and ASA5510. So I stumbled along the UTM9 firewall solution. It looks like a great product, and so I started testing it in my home lab environment. (CUCM 8.6.2, 2901 cisco Router as Voice Cube and such...) 

Setup:

UTM9 running on a Static IP at home lab Version: 9.106-17

ASA5505 connecting from customer site via IPSEC-VPN 

Call Manager, 2901 connecting to a SIP Trunk via 3. NIC 

Now I have the SIP Trunk working one way (Calls coming in work, Outgoing calls won´t transfer ) with the VOIP SIP proxy. 

That is one problem I am having. I THINK it might be due to RTCP. I had a log entry that showed a denied:

RTCP
62.180.x.x:10273→80.81.x.x:16489

I tried to help with a NAT rule sending everything from the 62.180 ip on the External interface to the 2901 Router. Now I don´t see any denies any more, but the call still does´t go through. Any Hints and tips on this? 

Now with the SIP Inspection active, I have another Problem. I have a 5505 ASA that I take along into hotels, customer sites and such, and have a dumb 3905 SIP phone from cisco and a 7965 SCCP. The ASA connects via VPN (IPSEC Site to Site) just fine. the 7965 also registers and works as long I don´t want to call out. but the SIP Phone will not register as long as the SIP Inspection is active. But the trunk won't work if it isn´t... 

Is there any way to exclude the vpn connection from SIP Inspection? I´d really love to get this solution working, and convince a few customers to give Sophos a shot, instead of Cisco. 

Thanks a lot for your help!


This thread was automatically locked due to age.
  • 0
    Hi, MM&S, and welcome to the User BB!

    I'm a visual-tactile learner, so I'm having trouble "seeing" your situation.  Where is the Call Manager relative to the UTM and the site-to-site VPN?  RTCP? - Please show the complete line from the full Firewall Log file.  Please [Go Advanced] below to attach a picture of your NAT rule and of your VoIP config.

    Cheers - Bob
  • 0 in reply to BAlfson
    Ok I have made a quick drawing of the Configuration, and screenshots of the rules:



    and the Network layout:



    I haven´t seen the RTCP message again, and even turning the rule off, and restarting the utm9 won´t bring it back :/ 

    So the 2901 has 2 interfaces. the 172.16.110.253 is a physical Nic on the UTM9 (172.16.110.254) and the default route goes to this. The other goes into the internal Layer3 network. 

    This is what I have configured in the SIP part:


    the 172.16.110.253 is the address the 2901 object is using.. 

    Thanks a lot for your help!
  • 0
    Thanks, that really helps.

    I think I'd change the NAT#3 to forward only RTCP traffic to the Call Manager.

    With VoIP configured as you have it, the DNAT #4 should not be necessary.  The VoIP helper shouldn't even be able to "see" the "remote -> VPN -> 2901" traffic, so I think you have a different problem...

    First, check that the "2901" host definition obeys #3 in https://community.sophos.com/products/unified-threat-management/astaroorg/f/51/t/22065.  If that's not the problem, try #1.  Any luck?

    Cheers - Bob
  • 0
    I have no Idea where / How to set the RTCP Traffic. There isn´t a possibility to choose that kind of traffic, only udp / tcp. Thats why I choose the "any" option. Is there a trick how to get RTCP ? Should I actually need it, or should the SIP Portion take care of that part? 

    Thanks a lot for your quick answer. I have the "any" interface option set, and #1 isn´t giving me anything helpful at the moment. But I will try after I restarted the UTM9.. just to be sure [;)]

    o.k. after a restart, when I call a number I actually get a 

    21:49:38 SIP call UDP
    172.16.110.253 : 16556
    →
    62.180.224.70 : 10054
    len=200 ttl=253 tos=0x18 srcmac=c8:9c:***xx dstmac=0:10:18:18:1:91

    (in white..) Which I Didn´t get before.. but the call still does´t go through..

    another edit:

    The Sip phones are also showing up in white:

    21:50:04 SIP
    172.30.199.39 : 3285
    →
    172.30.200.29 : 5060
    [ACK] len=1420 ttl=63 tos=0x00 srcmac=0:25:90:32:2c:5f
    21:50:04 SIP
    172.30.199.39 : 3285
    →
    172.30.200.29 : 5060
    [ACK] len=1420 ttl=63 tos=0x00 srcmac=0:25:90:32:2c:5f
    21:50:04 SIP
    172.30.199.39 : 3285
    →
    172.30.200.29 : 5060
    [ACK] len=1420 ttl=63 tos=0x00 srcmac=0:25:90:32:2c:5f
    21:50:05 SIP
    172.30.199.39 : 3285
    →
    172.30.200.29 : 5060
    [ACK] len=1420 ttl=63 tos=0x00 srcmac=0:25:90:32:2c:5f
    21:50:09 SIP
    172.30.199.39 : 4061
    →
    172.30.200.29 : 5060
    [ACK] len=1420 ttl=63 tos=0x00 srcmac=0:25:90:32:2c:5f

    and I´m not sure what source Mac that is, since it isn´t the mac of the SIP phone connected via vpn :/
  • 0
    You can edit the DNAT, click on the + beside 'Using service' and create a new service definition "RTCP" = UDP 1:65535->16384:32767.

    I don't know whether the VoIP proxy handles RTP packets, but I think it does.  You could test that by disabling the NAT rule.

    I just can't think of anything in your configuration that would block VoIP traffic over a site-to-site VPN.

    Cheers - Bob
  • 0
    The VOIP Traffic isn´t getting blocked. the phones don´t even register with the Call Manager. The SCCP phone works just fine, just the SIP based phones won´t connect...
  • 0
    What confuses me is that there's nothing about anything being blocked in the Firewall or Intrusion Prevention log.  Please show those same lines from the full Firewall log file that correspond to the ones from the Live Log.

    I'm also confused that the UTM would even see traffic from the phones - don't they connect to the Call Manager and then it connects with the VoIP provider?  Or does the Call Manager just manage the initial connection and then the phones speak directly to the VoIP provider?

    And, where is the 172.30.199.0/24 subnet?

    How about pics of the IPsec Connection and Remote Gateway?  Are you sure there's no issue of the remote network being a range that the 2901 routes to the switch or that the phone gets an IP in 172.16.100.0/24?

    Cheers - Bob
  • 0
    The boards go offline at night (german time ?) 

    the 172.30.199.0/24 is the Localnetwork that the clients behind the VPN Asa use. 

    The SIP Phones should connect to the CUCM, and the CUCM uses the 2901 as it´s connection to/from the SIP Trunk. 

    Pictures:

    ipsec profile for CiscoASA


    The Site to Site Stuff:

    the Daheim-IPSEC-VPN is a policy that I just use for the ipsec vpn, but reflects to 172.30.200.0/24 network (CUCM .29 and 2901 .253 in that network) 

    The Firewall Object is the UTM, so that I can reach it when I´m onsite



    and the auto rules:

  • 0
    If I understand correctly, the CUCM (.29) receives the connection from the SIP phone, sets up the call with the 2901 Voice Gateway (.253) and then the phone is connected directly with the 2901.  If that's right, are you sure the 2901 is configured to accept traffic from 172.30.199.0/24?

    If that wasn't it, then please confirm/answer the following:
    • "PRONET-OFFICE" = 172.30.199.0/24 = the network behind the Cisco ASA
    • "Daheim-IPSEC-VPN" = 172.30.200.0/24 = LAN where all phones and computers are (incl. VMWARE1)
    • "Firewall" is the same IP as "Internal (Address)"


    Cheers - Bob
  • 0
    If I understand correctly, the CUCM (.29) receives the connection from the SIP phone, sets up the call with the 2901 Voice Gateway (.253) and then the phone is connected directly with the 2901.  If that's right, are you sure the 2901 is configured to accept traffic from 172.30.199.0/24?

    If that wasn't it, then please confirm/answer the following:
    • "PRONET-OFFICE" = 172.30.199.0/24 = the network behind the Cisco ASA
    • "Daheim-IPSEC-VPN" = 172.30.200.0/24 = LAN where all phones and computers are (incl. VMWARE1)
    • "Firewall" is the same IP as "Internal (Address)"

    Cheers - Bob