Welche Firewall-Port für NAT-Validierung öffnen (ab V12)

Firewall NAT (ab V12)

Posted on August 29th, 2013 by Corina Werner, Marketing Manager - DACH

Mit dem 3CX Phone System 12 sind folgende Ports in der Firewall zu öffnen um mit

VoIP Providern
3CXPhone (Android, iOS, Windows) im direkten Modus (STUN)
3CXPhone (Android, iOS mit 3CX Tunnel APP, Windows) im Tunnel Modus
3CXPhone (Windows) im reinen CTI Modus
IP Telefonen
3CX SIP Proxy Manager
3CXPush

eine Verbindung aufbauen zu können.
Entnehmen Sie der folgenden Grafik welche Ports für welchen Anwendungsbereich zu öffnen sind. SIP ALG ist bei allen Firewall zu deaktivieren. Googlen Sie nach dem Model Ihrer Firewall + SIP ALG. Nach dem Einrichten des NAT ist der 3CX Firewall Checker aus der 3CX Verwaltungskonsole auszuführen um die Funktion des NATs zu validieren. 3CX leistet nur Support auf Anlagen mit statischer fester externen IP und rät zu einem Setup ohne die Verwendung von STUN aus dem 3CX Phone System. Dieses bringt eine zuverlässigere Anbindung von Teleworkern und VoIP Providern.

VoIP Provider

Optional: Fragen Sie bei Ihrem VoIP Provider an welche IPs die SIP und Media Server haben und schränken die NAT SOURCE auf diese Ports ein um den SIP Port des 3CX Phone Systems abzusichern. Nicht nutzbar wenn Sie mobile Klienten einsetzen da in Home Office oder 3G Netzen eine statischen IPs der Standard ist.

3CXPhone (Android, iOS, Windows) im direkten Modus (STUN)

Das 3CXPhone 12 beinhaltet CTI und SIP in einem Klienten.
SIP wird default über UDP abgehandelt, kann aber optional auf TCP umgestellt werden.
CTI wird pref. über HTTPS verbunden wenn definiert, Android und Windows fallen auf HTTP zurück sollte keine HTTPs Verbindung aufgebaut werden können.
iOS nimmt nur HTTPs wenn definiert oder HTTP wenn HTTPs nicht definiert ist (kein fall back).

Sollen Sie eine 3CX Bridge sein und von einem anderem 3CX Bridge System die Presence Anzeige empfangen wollen, muss in diesem Falle der CTI over HTTP Port geöffnet werden. Wird keine Presence ausgetauscht kann dieser Port geschlossen bleiben wenn keine 3CXPhones verwendet werden oder diese nicht auf die Presence zugreifen sollen von Extern.

3CXPhone (Android, iOS mit 3CX Tunnel APP, Windows) im Tunnel Modus

Das 3CXPhone 12 beinhaltet CTI und SIP in einem Klienten. Zudem kann der SIP und RTP Traffic über den 3CX Tunnel bis zum 3CX Phone System geschleust werden.
CTI wird pref. über HTTPS verbunden wenn definiert, Android und Windows fallen auf HTTP zurück sollte keine HTTPs Verbindung aufgebaut werden kann. CTI wird nicht getunnelt!
iOS nimmt nur HTTPs wenn definiert oder HTTP wenn HTTPs nicht definiert ist (kein fall-back).

Sollen Sie ein 3CX Bridge sein und von einem anderem 3CX Bridge System die Presence Anzeige empfangen wollen, muss in diesem Falle der CTI over HTTP Port geöffnet werden. Wird keine Presence ausgetauscht kann dieser Port geschlossen bleiben wenn keine 3CXPhones verwendet werden oder diese nicht auf die Presence zugreifen sollen von Extern.

3CXPhone (Windows) im reinen CTI Modus

Das 3CXPhone 12 kann auch ohne die SIP Funktion ausgeführt werden und steuert damit ein CTI fähiges IP Telefon. In diesem Fall werden nur die CTI over HTTP(s) Ports benötigt.

IP Telefonen

Ein IP Phone kann zwar nicht die CTI Schnittstelle des 3CX Phone System 12 ansprechen, dennoch benötigt es den Port 5000 um sein Provisioning von Server abrufen zu können. Zudem kann optional SIP in TCP oder TLS ausgeführt werden. Default ist UDP.

3CX SIP Proxy Manager

Der stand alone 3CX Tunnel benötigt auf der Zielseite nur den Tunnel Port da alle anderen Daten für CTI und Provisioning nicht über diesen Dienst geschleust werden. Der SPM kann kein SIP TLS transportieren und ist kein HTTP Proxy.