3CX als Cloudlösung. Ein paar Fragen

[wallymgbh]

Hallo Forum,

Wir planen demnächst unseren lokalen 3CX Server in die Cloud umziehen zu lassen. Dazu würden wir uns einen VM Server anmieten und diese dort installieren und dann mittels 3CX SBC unsere Telefone dorthin anzumelden.

Wir hatten dieses Szenario schon einmal und natürlich am Tag bis zu 50 fehlerhafte Loginversuche weil ein VM Server nun mal keine Firewall hat und der Port 5060 offen im Netz steht.

Folgende Sicherheitsmassnahmen haben wir eingeführt:

- Fail2BAN auf dem Server installiert
- Nur bestimmte Länder sind freigeschaltet
- Eine Anmeldung aus dem ist nur über den SBC oder internem Netz möglich
- Nach 3 Login Versuchen wird die IP für 1 Jahr gesperrt.

Von über 500 Hackingversuche war kein Hackversuch erfolgreich aber trotzdem Fragen wir uns ob wir die ganzen Hackingversuche noch mehr einschränken oder unterbinden können. Mittlerweile nutzen wir auch nicht mehr Port 5060 sondern Port 5064 da die ganzen damaligen Hackingversuche alle über 5060 kamen.

 

[avraammich_3CX]

Hi wallymgbh,

es ist eine gute Idee den SIP port von 5060 auf XXXX zu ändern sofern kein anderer Dienst auf den Port läuft.
Stelle sicher das Option "Automatische globale 3CX IP-Sperrliste" aktiviert ist.(Dashboard->Angriffsschutz)
Keine kurzen DID verwenden bzw. * und 6 Ziffern dahinter ist auch immer eine gute Idee.
Weiterführend ist es wichtig dass starke Passwörter verwendet werden.
Auf Benutzer ebene sowohl als auch für das Login auf 3cx MC.

3CX Certification

Distinguish yourself by getting ❱ 3CX ® Certified and gain the knowledge needed to sell, deploy and support 3CX for your clients ☛ Learn more!

www.3cx.com

 

[wallymgbh]

Hallo,

die Sperrlisrte ist aktiviert. DID ändern ist schwierig jetzt da alles eingerichtet ist. Zur Zeit haben wir 2stellige DIDs.

Passwörter sind denke ich stark gewählt. Wo immer es geht verwenden wir die generierten PW der 3CX.

 

[avraammich_3CX]

Hi, wallymgbh,

wenn du meinst du hast zwei stellige DID's?

Kommst du von einem Backup Restore 14 oder sogar 12 Version?
Denn auf einer V16, V18 sind kurze DID nicht erlaubt.
Dieses solltest du auf jeden fall ändern.

 

[wallymgbh]

Hallo,

nein wir Nutzen die Version die in meiner Signatur steht. Ich meinte natürlich Nebenstellennummer. Die sind 2stellig. DID's nutzen wir aktuell noch nicht sondern wir haben unsere 3 Nummern einzeln eingerichtet. Wird aber auch demnächst kommen dann sind die DID's 3stellig.

 

[forum-name-787878]

Hallo Wally,

welche Firewall steht vor der 3cx?
bei welchem SIP Trunk Provider bist du?

 

[wallymgbh]

Der Sip Provider ist Easybell und eine Firewall gibt es nicht. Zumindest keine die ich konfigurieren könnte.

 

[mbehrens]

Von über 500 Hackingversuche war kein Hackversuch erfolgreich aber trotzdem Fragen wir uns ob wir die ganzen Hackingversuche noch mehr einschränken oder unterbinden können. Mittlerweile nutzen wir auch nicht mehr Port 5060 sondern Port 5064 da die ganzen damaligen Hackingversuche alle über 5060 kamen.

Das fällt jetzt aber eher unter security by obscurity.

Warum keine Firewall?

 

[bitn2]

Es gibt diverse Anbieter wo man auch eine, zumindest einfache, Firewall dazu mieten kann. Ich würde das evtl. in Erwägung ziehen. (Hetzner ist ein Beispiel)

 

[sir116]

Eine CLOUD-Firewall ist ein MUSS! Sollte bei vernünftige Anbieter kein Problem sein. Eine Firewall, mehrere IPs und dann mehrere 3CXen dahinter. Fertig.

 

[wallymgbh]

OK dann war meine Wahl wohl eher nicht so der Renner denn die bieten das nicht an. Dann werde ich mal suchen müssen bzw mal bei Hetzner vorbei sehen. Danke für die zahlreichen Antworten.

 

[wallymgbh]

Hallo,

Habe Hetzner heute mal ausprobieren wollen. Hetzner hat sogar ein 3CX Image. Dies startet auch aber die Netzwerkeinstellungen laufen nicht durch. Eine Default Route kann nicht gesetzt werden und demnach kann der Installer auch nicht die preconfiguration von 3CX laden. Wenn ich die Netzwerkeinstellungen manuell setze kann der installer das Gateway nicht finden obwohl es laut Hetzner stimmen sollte. Auch die manuelle Gateway Config Docs von Hetzner funktionieren nicht.

Hat das jemand bei Hetzner schonmal geschafft und wenn ja wie ?

 

[bitn]

Hallo,

ja haben wir. Cool das die das 3CX ISO nun global aufgenommen haben früher musste man den Support Anschreiben war aber auch kein Problem.

Schau mal hier das müsste Dir weiter helfen

https://www.3cx.de/forum/threads/hetzner-cloud-instanz-und-iso-linux-v18.100546/post-334627

Beste Grüße

 

[wallymgbh]

Hallo ,

vielen vielen Dank für den Tipp. Die Installation hat nun geklappt. Allerdings kann ich die IP weder anpingen noch aufrufen. Die beginnt mit 142.... Muss ich hier bei Hetzner noch irgendwas beachten bzw konfigurieren ? Bin neu bei Hetzner und es gibt hier viele Dinge die es sonst nicht gibt.

 

[bitn]

Schwer zu sagen anpingen kann ich die auch nicht.
Eingehende Firewall Regeln hast Du erstellt?

 

[wallymgbh]

Guten Morgen bitn,

ich habe in den Firewall Regeln mal nachgeschaut und dort einen Fehler entdeckt. Nun klappt es soweit und ich hoffe ich kann die 3CX demnächst fertig einrichten. Vielen DANK