Konfigurieren von Router und Firewall

Einführung

Wenn Sie 3CX lokal (On-Premise) installiert haben, müssen Sie Änderungen an Ihrer Firewall-Konfiguration vornehmen, damit 3CX erfolgreich mit Ihren SIP-Trunks und Apps kommunizieren kann. Diese Anleitung gibt Ihnen einen allgemeinen Überblick über die Ports, die an Ihrer Firewall geöffnet bzw. statisch weitergeleitet werden müssen.

Wenn Sie Remote-IP-Telefone einsetzen, müssen Sie ein SBC- oder Router-Telefon davor schalten. Alternativ empfehlen wir die Nutzung unserer Apps, die über einen integrierten Tunnel verfügen. Weitere Informationen zum SBC finden Sie hier.

Erforderliche Ports für Ihren SIP-Trunk/VoIP-Anbieter

Erforderliche Ports für Ihren SIP-Trunk/VoIP-Anbieter

Öffnen Sie diese Ports, um 3CX die Kommunikation mit dem VoIP-Anbieter/SIP-Trunk und WebRTC zu ermöglichen:

  • Port 5060 (eingehend, UDP) und 5060-5061 (eingehend, TCP) für die SIP-Kommunikation.
  • Port 9000-10999 (eingehend, UDP) für die RTP-Kommunikation (Audio), d. h. den eigentlichen Anruf. Jeder Anruf erfordert 2 RTP-Ports – einen zur Steuerung des Anrufs und einen für die Anrufdaten. Daher entspricht die Anzahl der zu öffnenden Ports dem Doppelten der Anzahl gleichzeitig geführter Gespräche.

Erforderliche Ports für Remote-3CX-Apps und 3CX SBC

Um Nutzern die Verwendung ihrer 3CX-Apps aus der Ferne (unter Android, iOS oder Windows) zu ermöglichen, stellen Sie sicher, dass folgende Ports geöffnet sind:

  • Port 5090 (eingehend, UDP und TCP) für den 3CX-Tunnel.
  • Port 443 oder 5001 (eingehend, TCP) HTTPS für Präsenzstatus und Bereitstellung (oder der von Ihnen festgelegte benutzerdefinierte HTTPS-Port).
  • Port 443 (ausgehend, TCP) für Google Android Push.
  • Port 443, 2197 und 5223 (ausgehend, TCP) für Apple iOS Push. Weitere Informationen hier.

Erforderliche Ports für Remote-3CX-Apps und 3CX SBC

PUSH-Nachrichten werden vom 3CX-System an Nebenstellen auf Smartphones gesendet, um die Geräte bei eingehenden Anrufen aufzuwecken. Dies verbessert die Nutzbarkeit der Smartphone-Apps erheblich.

Für 3CX-Videokonferenzen erforderliche Ports

Um webbasierte Meetings zu erstellen und daran teilzunehmen, muss der von 3CX gehostete Cloud-Dienst mit der 3CX-Telefonanlage kommunizieren können und umgekehrt. Dazu müssen folgende Ports konfiguriert werden:

Für 3CX-Videokonferenzen erforderliche Ports

  • Port 443 (eingehend, TCP) muss erlaubt sein, damit sich Teilnehmer mit Ihrem 3CX-System verbinden können
  • 3CX-System: Port 443 (ausgehend, TCP) muss erlaubt sein, um eine Verbindung zur Cloud-Infrastruktur von 3CX herzustellen
  • Nutzer: Port 443 (ausgehend, TCP) und 48000-65535 (ausgehend, UDP) müssen erlaubt sein, um Audio und Video mit anderen Teilnehmern auszutauschen

IP-Adressen-Whitelisting für den 3CX-Transkriptionsdienst (Cloud)

Ihre Firewall-Einstellungen müssen eingehenden Transkriptions-Datenverkehr (TCP) von der Quelle wmr-in.3cx.net (IP-Adresse 34.40.92.110) an Port 443 (oder den von Ihnen für HTTPS verwendeten alternativen Port) zulassen.

Für andere Dienste erforderliche Ports

3CX verbindet sich mit verschiedenen in der Cloud bereitgestellten Diensten.

  • SMTP-Dienst: Cloud-Dienst für SMTP-Nachrichten
            mailproxy.3cx.com, 443 (ausgehend, TCP)
  • Aktivierungsdienst: Aktivierung von 3CX-Produkten
            activate.3cx.com, 443 (ausgehend, TCP, ungeprüfter Datenverkehr)
  • Erkennungsdienst: Ermitteln Ihrer öffentlichen IP
            discoverv4.3cx.com, 443 (ausgehend, TCP, ungeprüfter Datenverkehr)
  • RPS-Dienst: Bereitstellung von Remote-IP-Telefonen
            rps.3cx.com, 443 (ausgehend, TCP)
  • Update-Server: Für 3CX-Updates und Firmware von IP-Telefonen
            downloads-global.3cx.com, 443 (ausgehend, TCP)
  • WebMeeting-Dienst und Transkription
            wmr.3cx.net, 443 (ausgehend & eingehend, TCP)
  • Push-Dienst (Android & iOS)

pbxservicespush.3cx.com, 443 (ausgehend, TCP, ungeprüfter Datenverkehr)

Konfigurieren von Split DNS/Hairpin NAT

Sie müssen den 3CX-FQDN so konfigurieren, dass er sowohl intern in Ihrem lokalen Netzwerk als auch extern außerhalb Ihres Netzwerks funktioniert (es sei denn, Sie möchten keinen Zugriff auf Ihre Telefonanlage von außerhalb des Netzwerks gewähren). Lesen Sie hier, wie Sie Split DNS konfigurieren.

Deaktivieren des SIP ALG

Verwenden Sie einen Router/eine Firewall ohne SIP-Helper oder SIP ALG (Application Layer Gateway) oder ein Gerät, bei dem SIP ALG deaktiviert werden kann.

Starten des 3CX Firewall Checker

Führen Sie nach der Konfiguration Ihrer Firewall den 3CX Firewall Checker aus, um die Konfiguration zu überprüfen!

ACL/Firewall

Jede On-Premise-Installationsumgebung ist unterschiedlich. Daher liegt es in Ihrer Verantwortung, geeignete ACL-/Firewall-Regeln zu definieren, die verhindern, dass der 3CX-Host sensible Subnetze/Endpunkte in Ihrem Netzwerk erreicht. Dies muss auf der Netzwerkebene in Gateways und Firewalls im Vorfeld von 3CX gehandhabt werden, um ein Vordringen in unsere Infrastruktur im Falle einer Kompromittierung zu verhindern.

Schritt-für-Schritt-Anleitungen zur Konfigurierung von gängigen Firewalls

Beispielkonfigurationen für gängige Firewalls:

Siehe auch

Letztes Update

Dieses Dokument wurde zuletzt am 30. September 2026 aktualisiert.

https://www.3cx.de/docs/adminhandbuch/firewall-router-konfiguration/