3
Polycom H.323 hinter Firewall und NAT
Ich möchte ein Polycom PVX Videokonferenzsystem, das in einem privaten Netz hinter einer PIX501 angesiedelt ist, mit einem externen System kommunizieren lassen. Leider deuten alle Infos, die ich zum Thema H.323 und Fw/NAT gefunden habe darauf hin, dass das eine problematische Konstellation ist, und habe sie auch noch nicht zum Laufen bekommen. Gibt es jemanden, der hier Erfahrungen hat? Gruss D.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 90728
Url: https://administrator.de/contentid/90728
Printed on: April 24, 2024 at 20:04 o'clock
3 Comments
Latest comment
Ja, das ist leider so und liegt am H.323 Protokoll an sich, das eigentlich nicht für NAT gemacht ist. H.323 öffnet von sich aus mehrere zufällige, dynmaische Ports beim Verbindungsaufbau, so das eine klasssiche Zuordnung über eine feste ACL nicht möglich ist.
Du müsstest also eine relativ große Portrange in der Portweiterleitung für den gesamten dynamischen Bereich den H.323 benutzt eröffnen, was eine Gefahr für das Konferenzsystem darstellt.
Wenn du damit leben kannst ist das aber kein Problem, dann sollte es klappen.
Cisco hat dafür ein entsprechndes HowTo für die PIX. Minimum ist dafür SW release 6.2 erforderlich (PAT Support):
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_configur ...
Du müsstest also eine relativ große Portrange in der Portweiterleitung für den gesamten dynamischen Bereich den H.323 benutzt eröffnen, was eine Gefahr für das Konferenzsystem darstellt.
Wenn du damit leben kannst ist das aber kein Problem, dann sollte es klappen.
Cisco hat dafür ein entsprechndes HowTo für die PIX. Minimum ist dafür SW release 6.2 erforderlich (PAT Support):
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_configur ...
Danke fuer die Antwort. Diese Laboraufbau hatte ich auch schon gefunden, leider passt er nicht zu meiner Konfiguration. Inzwischen habe ich beim DFN eine Studie gefunden, die auf das Thema Firewall/H.323 im allgemeinen und auch auf die PIX im speziellen eingeht mit dem Ergebnis: in NAT-Umgebungen können keine Rufe abgesetzt werden:
https://www.vc.dfn.de/fileadmin/dokumente/firewallstudie-H.323.pdf
Dank und Gruss,
D.
https://www.vc.dfn.de/fileadmin/dokumente/firewallstudie-H.323.pdf
Dank und Gruss,
D.
Eigentlich hat Cisco da einen Workaround, da sie selber ja das problem haben mit ihren VoIP Telefonen die noch H.323 benutzen aber es mag sein das das nur mit ihren eigenen Produkten proprietär funktioniert.
Generell ist die DFN Aussage richtig !
Wenns das war bitte
How can I mark a post as solved?
nicht vergessen !!
Generell ist die DFN Aussage richtig !
Wenns das war bitte
How can I mark a post as solved?
nicht vergessen !!
