Sipgate, Phonerlite und Windows Firewall

[Jan (Gast)]

Hallo,

ich habe mir einen sipgate-Account eingerichtet, weil ich auf dem 
Computer bequem per Headset telefonieren möchte.
Eingehende Anrufe kommen aber leider nur an, wenn ich PhonerLite in der 
Windows Firewall freischalte. Eigentlich ist meine bevorzugte 
Einstellung "Alle eingehenden Verbindungen blockieren...".

Ich habe dann bei Sipgate gelesen, dass man bei Problemen die Firewall 
und ggf. auch den Router entsprechend konfigurieren muss. Da habe ich 
auf VoIP ja schon fast keinen Bock mehr drauf, wenn ich so was lese.

Bei Skype funktioniert es doch auch, obwohl ich alle eingehenden 
Verbindungen blockiert habe. Da kann ich ohne derartige verrenkungen 
eingehende Gespräche annehmen und musste noch nie eine Firewall oder gar 
einen Router umkonfigurieren.
Wer kennt sich hier mit Sipgate bzw. VoIP aus und kann mir sagen, ob es 
eine Möglichkeit gibt, auch bei blockierten eingehenden Verbindungen 
Gespräche entgegenzunehmen?

[Frank (Gast)]

Der Unterschied zwischen Skype und "richtigem" VOIP per SIP ist 
Folgender:

Skype hält ständig eine Verbindung von "drinnen" nach "draussen" zum 
Server offen, so dass ein Anruf sofort weitergereicht werden kann.

Ein SIP-Telefon registriert sich zwar am Server, so dass dieser weiss, 
wie er es bei Bedarf erreichen kann, aber es besteht keine ständige 
Verbindung. Demzufolge muss diese bei Abruf von Aussen herstellbar sein.

Das sind übrigens mehrere Ports freizumachen, SIP ist ein ganzer 
Protokollstack, z.B. für SIP Port 5060..5061, für RTP Port 10000...2000, 
beide per UDP, aber die Details sind bei fast jedem Provider etwas 
anders.

Zur zur Erklärung. Per SIP (session initiating protocol) wird die 
Verbindung geöffnet, gehalten, evtl. weitergelitet usw. und beendet. Per 
RTP/RTSP (real time protocol, real time streaming protocol) werden die 
eigentlichen Audiodaten übertragen.

Ein gern gemachter Konfigurationsfehler fürht z.B. dazu, dass ein 
angerufenes Telefon zwar klingelt (SIP), aber entweder kein Ton oder nur 
einseitig Ton zu hören ist (RTP).

[bluppdidupp (Gast)]

http://www.heise.de/security/artikel/Wie-Skype-Co-Firewalls-umgehen-270856.html
Wenn man einen STUN-Server (stun.sipgate.net, Port 10000) bei Phoner 
angibt kann man evtl. Glück haben, dass der SIP-Client ebenso ein Loch 
in die Firewall geschossen kriegt 
(http://www.tecchannel.de/kommunikation/handy_pda/433069/voip_hinter_einer_nat_firewall/index3.html)

...sinnvoller wäre aber wohl den SIP-Client in der Firewall freizugeben 
statt ihn umständlich selbst Löcher bauen zu lassen (was je nach Router 
und Firewall und Provider evtl. nichtmal ordentlich funktioniert)

[Εrnst B. (ernst)]

Jan schrieb:
> Bei Skype funktioniert es doch auch, obwohl ich alle eingehenden
> Verbindungen blockiert habe.

Um es einfach verständlich auszudrücken:

Skype wendet üble Hacker-Tricks an, um deine Firewall auszutricksen und 
zu umgehen. Es bohrt ohne deine explizte Erlaubnis Löcher in die 
Firewall.
Ist OK, weil das das ist, was die meisten Nutzer wollen, auch wenn (bzw: 
besonders weil) sie es nicht verstehen.

Viele SIP-Clients können das auch, aber tun das nicht ohne deine 
Erlaubnis.
(=>STUN-Server eintragen, ...)

Wenn du aber sowieso eingehende Verbindungen erlauben willst, kannst du 
das auch selber in der Firewall so einstellen, anstatt dich auf 
"hinterhältige Hacks" zu verlassen.

[Frank (Gast)]

Εrnst B✶ schrieb:
> Skype wendet üble Hacker-Tricks an, um deine Firewall auszutricksen

Naj, es geht auch etwas weniger Computer-Bild-like:

Skype verwendet einfach Ports, die sowieso offen sind (z.B. Port 80) für 
andere Protokolle ("Tunneling") und hält dann die Verbindungen offen ...

[Εrnst B. (ernst)]

Frank schrieb:
> Skype verwendet einfach Ports, die sowieso offen sind (z.B. Port 80) für
> andere Protokolle ("Tunneling") und hält dann die Verbindungen offen

das triffts nicht ganz.

Skype nutzt das UDP-NAT/Connection-Tracking aus, in dem der Firewall 
eine von innen geöffnete Verbindung vorgegaukelt wird, auf der dann 
anschließend von aussen eingehende Verbindungen akzeptiert werden.

Etwas genauer entweder im oben verlinkten Heise-Artikel oder in der 
Wikipedia erklärt:

https://de.wikipedia.org/wiki/Session_Traversal_Utilities_for_NAT