3CX DMZ nötig oder nicht?

[wuest-it.de]

Hallo zusammen,

ist es sinnvoll die 3CX in eine DMZ zu heben?
Bringt dies Vor- bzw. Nachteile mit sich?

Mit Freundlichen grüßen

 

[bitn2]

Ich kenne Anbieter, die Ihre PBX Systeme in einer komplett gekapselten private Cloud anbieten.

Vorteile sind halt, dass dort kein Traffic reingeht der nicht rein gehen sollte z.B.
Nachteil, Anbieterwechsel nicht mal eben Möglich - Lösung benötigt eine dauerhafte VPN Verbindung was bei Mobilgeräten (Handys) meiner Meinung nach nicht sinnig ist (zumindest ist es mir NOCH nicht untergekommen dass es Sinn gemacht hat)

Es ist halt die Frage von Kosten und was der Kunde benötigt.
Will der Kunde mit seinem Handy über 3CX telefonieren?
Ist der Kunde paranoid und möchte maximale Sicherheit bzw Zugriffskontrolle?

Mfg

Ich glaube da ist das Thema DMZ noch nicht ganz verstanden worden, das hat so gar nichts mit irgend einer Cloud zu tun oder irgendwelchen VPN Verbindungen usw. Aber davon ab, die 3CX in eine DMZ zu setzen kann man machen, muss man aber wirklich nicht. So lange die Firewall korrekt konfiguriert ist, ist das so ok. Wenn grundsätzliche Sicherheitsbedenken beim Kunden bestehen, kann man das natürlich mit der DMZ machen. Der Konfigurationsaufwand ist damit dann aber ungleich höher.

 

[fxbastler]

Hallo,

wir setzen prinzipell alle unsere 3CX in separate Netzwerksegmente die nur abgeschottet mit dem normalen LAN verbunden sind. Insbesonders die Endgeräte kommen nicht weit raus oder gar in's Internet. Nur die jew. 3CX in reduzierter Form.

Die Separierung erfolgt nicht per VLAN an den Endgeräten sondern entweder per VLAN auf den jew. Switchen und dafür dedizierten Ports (das nur in den wenigen Fällen wo nicht genügend Ports am Standort der Endgeräte vorhanden sind) oder mit völlig separaten dafür eigenen Switchen und Anschlüssen für die Endgeräte vor Ort (das ist die Regel). Die Switche sind (wenn sie es denn können) auch so eingestellt, dass bei nicht von uns eingesetzten VOIP Endgeräten im LAN (per MAC in Grenzen filterbar) sonst gnadenlos an den Switch Ports enden lassen.

Man erspart sich viel Ärger mit Störungen, die Bandbreite ist immer da und der Zugriff ist generell beliebig und einfach steuerbar. Insbesonders die Provisionierung und Signalisierung per Multicast verläuft dauerhaft völlig problemlos was sonst absehbar richtig schief laufen kann und auch schon passiert ist.

Das verstehen einige unter DMZ, ist es aber vom Grundgedanken her nicht.

 

[ChrisPBX]

Hallo zusammen,

ist es sinnvoll die 3CX in eine DMZ zu heben?
Bringt dies Vor- bzw. Nachteile mit sich?

Mit Freundlichen grüßen

@wuest-it.de
ich persönlich habe eine 3CX "self hostet" und in ein eigenes vLAN hinter der Firewall aufgebaut. Die Konstellation läuft super, und selbst wenn einer in die DMZ kommen "sollte" über das WAN Interface, so sind ausschließlich Routen in das WAN verfügbar, aber keine weiteren in Deine Client/Server vLANs.

Ich befürworte das man UCC Systeme in ein entsprechende DMZ Segment (vLAN) implementiert.

 

[ChrisPBX]

Ich glaube da ist das Thema DMZ noch nicht ganz verstanden worden, das hat so gar nichts mit irgend einer Cloud zu tun oder irgendwelchen VPN Verbindungen usw. Aber davon ab, die 3CX in eine DMZ zu setzen kann man machen, muss man aber wirklich nicht. So lange die Firewall korrekt konfiguriert ist, ist das so ok. Wenn grundsätzliche Sicherheitsbedenken beim Kunden bestehen, kann man das natürlich mit der DMZ machen. Der Konfigurationsaufwand ist damit dann aber ungleich höher.

@bitn2
Du irritierst mich jetzt etwas und hoffe, Du kannst mich da aufgleisen.
Ich strauchle gerade bei dem Comment "Der Konfigurationsaufwand ist damit dann aber ungleich höher" ? Ich habe eine 2 stufige Umgebung und muss wie auch bei einer einstufigen Umgebung die Ports der 3CX auf dem WAN Router korrekt freischalten, damit die Smartphones oder ext. Nebenstellen sich über das WAN verbinden.

Was ein einmaliger Mehraufwand ist, ist die Freischaltung (per Service-/Host-Gruppe) aus der Client-Zone durch die Innere Firewall in die DMZ, wo die 3CX implementiert ist. Eine Rückroute von der DMZ in die Client-Zone ist nicht notwendig.

das funktioniert bei mir an einem Stanord geschmeidig. Auch die Smartphones können über das Datennetz die 3CX in der DMZ fehlerfrei erreichen und darüber telefonieren.

Gruß
Chris

 

[bitn2]

@bitn2
Du irritierst mich jetzt etwas und hoffe, Du kannst mich da aufgleisen.
Ich strauchle gerade bei dem Comment "Der Konfigurationsaufwand ist damit dann aber ungleich höher" ? Ich habe eine 2 stufige Umgebung und muss wie auch bei einer einstufigen Umgebung die Ports der 3CX auf dem WAN Router korrekt freischalten, damit die Smartphones oder ext. Nebenstellen sich über das WAN verbinden.

Was ein einmaliger Mehraufwand ist, ist die Freischaltung (per Service-/Host-Gruppe) aus der Client-Zone durch die Innere Firewall in die DMZ, wo die 3CX implementiert ist. Eine Rückroute von der DMZ in die Client-Zone ist nicht notwendig.

das funktioniert bei mir an einem Stanord geschmeidig. Auch die Smartphones können über das Datennetz die 3CX in der DMZ fehlerfrei erreichen und darüber telefonieren.

Gruß
Chris

Das war damit gemeint, es ist halt nicht damit getan nur die Ports ausgehend freizugeben, man muss auch dafür sorgen das die Telefone aus dem internen Netz die 3CX erreichen. Je nach Wissensstand, ist das ein nicht unerheblicher Mehraufwand.