@escho 

1 vlan voor het beheer van het modem vlan100

2 vlan iptv vlan640 bridged allleen op zyxel routere.

3 internet en telefonie vlan300

op de modems van T-Mobile is poort 5060 gereserveerd voor telefonie van T Mobile ook als je hier geen gebruik van maakt.

normaal gesproken hebben voipaanbieders gewoon een alternatieve poort

dankje.  er is maar een fijnlijntje tussen  in gebruik houden van en blokkeren voor de gebruiker
door dat er dus altijd door TM is verteld dat er niets geblokkerd word heb ik dus een halfjaar zonder telefonie gezeten. 
Bedankt TM top/ nu nog eenduidige info ivm iptv

Ik gebruik een eigen modem/router direct op de mediaconverter van T-mobile.

Het lukt mij niet om mijn zakelijke VOIP telefoon te laten werken. De provider van mijn VOIP telefoon geeft aan dat T-mobile in hun centrale deze mogelijkheid blokkeren. In mijn eigen modem/router staan alle instellingen (SIP alg uit) correct. Overigens werkte deze configuratie prima bij mijn oude provider Ziggo.

Hebben jullie hier ervaring mee en/of mogelijk een oplossing?

Hi @Mark_online  ,

Dat roept bij mij direct vragen op. Welke VOIP dienst gebruik je nu en op welke poort heb je deze ingesteld? Ook ben ik benieuwd via welk modem je bent verbonden. Ik hoor het graag van je! 

Dit is al een heel oud onderwerp, maar worden er nog steeds poorten geblokkeerd?
 

Poort 25 en 5060.

Als je gebruik maakt van een eigen router (in plaats van de door T-Mobile geleverde router (Zyxel)) dan is alleen poort 25 geblokkeerd.

Mijn data verkeer word DMZ doorgestuurd naar een eigen pfSense route/firewall.
De telefonie bij mijn Voip provider staat ingesteld op poort 5060, lijkt dus dat deze niet geblokkeerd is in de modem.

Poort 25 zou Tmobile voor diegenen die denken een eigen mailserver te kunnen onderhouden re-mappen. Zodat e-mail verkeer in eigen beheer mogelijk blijft. Zoiets als 25 naar 19025.
Jammer genoeg is Tmobile minder service gericht om een dergelijke oplossing aan te bieden. Te weinig vraag naar zal een reden zijn.
Een dergelijke oplossing heeft voor mij in het verleden via een web-hoster, toen het internet iets veiliger was, goed gewerkt inclusief de spam afvangen.

Het zijn gewoon draken bij T-mobile want bij een zakelijk T-mobile internet, wat gewoon een stuk duurder is maar exact dezelfde  techniek is  mogen ze wettelijk niet eens poorten sluiten.

Ze durven zelfs te beween dat  er een nieuwe lijn voor zakelijk aangelegd moet worden. Ze zijn belazeren de boel hier. Dan betaal ik wel wat meer.

Bij zakelijke verbinding heb je ook vaak een redundante verbinding. Dan worden er een aansluiting gemaakt op de ring. Soms kan ook een bestaande enkelvoudige Reggefiber lijn worden gebruikt dan zal deze via een andere splitter verlopen voor zakelijke klanten. En word er xgs-pon gebruikt inplaats van gpon. Er word dus wel een andere techniek toegepast. Nu weet ik meer van Tele2 zakelijk dan van T-Mobile zakelijk ook al is het overgenomen door T Mobile

Waarschijnlijk komt dit omdat de router poort 5060 reserveert, zodra DMZ wordt gebruikt wordt deze reservering overruled door DMZ en wordt deze doorgezet naar je pfSense.

Volgens mij kan dat niet, tenminste… mail exchanges vinden nagenoeg altijd plaats via poort 25, door deze te re-mappen gaat het niet ineens wel werken want er zal altijd geprobeerd worden om via poort 25 e-mail van en naar je eigen mailserver te sturen.

Via een webhoster kan je, je e-mails sowieso versturen, ook als je een eigen mailserver draait. Dit is een kwestie van relayen via de mailserver van je webhoster.

Mail wil je trouwens sowieso het liefst niet versturen via poort 25 aangezien lang niet iedere mail server SSL of SSL/TLS ondersteuning heeft op die poort.

Ligt aan de overeenkomst, wettelijk is er voor B2B voor zover ik weet geen enkel iets vastgelegd dit in tegenstelling tot consumenten alwaar netneutraliteit van toepassing is. Echter is in dit geval opgenomen dat een provider wel maatregelen mag nemen om haar infrastructuur of klanten te beschermen. Of het blokkeren van poort 25 daaronder valt, kunnen we lange discussies over voeren maar het is wel het meest eenvoudige om te voorkomen dat bulk mail wordt verzonden door een slecht geconfigureerde thuisserver.

Oke, het was een relay mailservice maar deze werd via een andere poort geleid om de eigen mailserver niet direct aan het grote boze internet te hangen.

Mail wil je, als thuishobbyist naar mijn mening sowieso niet meer zelf met een eigen mailserver direct aan het internet gaan onderhouden. Een juiste configuratie van opzetten en onderhouden met spamfilter, spf en DKIM  en alle andere bijkomende zaken is behoorlijk tijdrovend. Uitbesteden is in mijn ogen de betere oplossing. (Kost éénmalig tijd om de DNS te configureren)

Sowieso zou dit een wel hele mooie oplossing zijn, maar zoals inmiddels dacht ik ook bij diverse andere providers te zien is, wordt mail relay tegenwoordig gewoon over dezelfde mailservers gejaagd als waarop de providermail verloopt.

Valt op zich wel mee met dat tijdrovend. Het is in eerste instantie een kwestie van goed op zetten en daarin zit de meeste tijd. Daarna is het eigenlijk alleen nog een kwestie van onderhouden. Dat onderhoud valt op zich mee.

SPF, DKIM, DMARC zijn vrij easy. TLSA kan soms nog wel eens waardeloos zijn, vooral als je gebruik maakt van Let's Encrypt of andere short term certificaten. Bij iedere verlenging moet je weer nieuwe TLSA records hebben.

Maar dan nog, dat blokkeren van poort 25 is naar mijn idee vooral bedoeld omdat bijvoorbeeld de “gemiddelde” consument dacht, laat ik eens een mailserver o.i.d. bouwen met alle gevolgen van dien. Als ISP wil je natuurlijk zo min mogelijk vervuilde IP's in je subnet aangezien het best veel tijd vergt om die weer van alle blacklists verwijderd te krijgen. En tegenwoordig zijn er zat blacklists die hele subnets opnemen.

Ik wil gewoon een backup kunnen maken naar een azure file share, maar dat kan niet bij Odido want poort 445 is geblokkeerd. Wat ontzettend vreemd aangezien dat gewoon niet mag. Kijk dat je inkomend verkeer standaard blokkeerd op je modem kan ik inkomen maar waarom al het verkeer over poort 445 blokkeren. Dat is dus niet voor mijn veiligheid. Waar het wel voor is weet ik niet, maar raar blijft het wel.

Port 445: Understanding Its Role in Cyber Attacks and Strategies for Defense

Wat ontzettend vreemd aangezien dat gewoon niet mag.

Altijd fijn dat mensen zo eerlijk kunnen zijn, maar waarom wereldwijde ISP’s dit toch doen even uit het oog verliezen.

Maar, dit probleem van blokkade is niet alleen binnen het Odido netwerk. Als je gaat zoeken op het WWW, is dit wereldwijd een probleem … maar eigenlijk een probleem van Windows en het gebruik van juist dat protocol via die poort.

Poort 445 heeft een behoorlijk slechte naam, zeker als je nog gebruik nog gebruikt maakt van verouderde SMB V1 & V2 protocollen.

Een groot aantal ICT specialisten zijn over het gebruik van SMB over het internet duidelijk, onveilig … dat weet Windows ook, alleen hebben ze daaromheen een hele infra opgebouwd.

De oplossingen die geadviseerd wordt, maak gebruik van een VPN als je toch SMB over het internet wilt gebruiken.

​@Pieter_B dat is natuurlijk flauwekul. Deze blokkade komt  uit de tijd dat we nog direct met 1 pc op een com 21 modem hingen (2001). Zodra je bestandsdeling aanzette was dit zichtbaar voor het hele web. Dat was gewoon niet safe. Tijden zijn veranderd, en iedereen zit achter een router met firewall. Dus die blokkade kan er nu wel af, lijkt me.

En dan nog iets, jouw verhaal gaat alleen op in het geval van een ingaande blokkade, het gaat hier om een uitgaande blokkade. Voor mij totaal onduidelijk wat het doel is…

Goed, jij bent de netwerk specialist in dit geval.

Bedankt voor je opbeurende mening.