3CX hinter Firewall mit mehreren Internet / Voip Providern

[hcjurkat]

Hallo in die Runde,
ich kämpf gerade mit einer Anforderung und weiß noch nicht, wie ich das mit der 3CX konfigurieren kann.

die 3CX soll hinter einer Firewall betrieben werden. diese ist aus Redundanzgründen mit 2 verschiedenen DSL Providern verbunden (Vodafone und Telekom). und es sollen die IP Telefonie Funktionen der beiden Anschlüsse genutzt werden.

Problem stellt sich für mich nun mit der Konfiguration mit der öffentlichen IP Adresse für die 3CX.

Ich würde gerne die beiden von den Anbietern bereitgestellten Router auch für die direkte Anbindung an die jeweiligen voip trunks dieser Anbieter weiter nutzen, da dadurch eine Sicherheitsstufe mehr gegeben ist und zum Anderen auch das Problem gelöst wäre, dass die 3CX nur mit einer public IP klar kommt. ich brauche aber sowohl für das Telekom- als auch für das Vodafone Netz jeweils eine, da deren Voip Trunks nur Verbindungen aus den eigenen Netzen akzeptieren. Nun habe ich also beide Dsl Boxen an der Firewall und kann damit auch wunderbar auf beiden Seiten ins Internet.

Muss ich jetzt als Public IP auf der 3CX die externe Adresse der Firewall nehmen, damit das Routing der Audiodaten zu den Boxen sauber funktioniert, oder gibt es da noch einen anderen Weg der 3CX zu erzählen, dass die für sie bestimmten Voip Trunks auf den Boxen nicht extern sind, sondern in einem eigenen Netzsegment? oder reicht da ein Add Route auf der Linux console?

andererseits wäre dann die Frage, wie würde man dann externe Phones anbinden können?

vielleicht hat da jemand schon Ähnliche Stenarien umgesetzt und kann mir einen Tipp geben.

Besten Dank dafür
Holger

 

[hcjurkat]

ggf. noch zur Info:
Vodafone stellt eine Fritzbox
Telekom eine Digitalisierungsbox

Firewall ist eine Watchguard

 

[nobody]

Ich denke nicht, dass Du mit diesem Plan glücklich wirst.
Die konstruktion mit mehreren kaskadierten NAT routern ist etwas was nur das leben schwer macht. Ich kann auch nicht erkennen warum das eine verbesserung der Sicherheit sein soll. Oder denkst Du, dass Du selber die NAT/Firewall einstellungen fehlerhaft einrichtest, aber die wahrscheinlichkeit, dadurch, dass Du das an 3 verschiedenen stellen tust dazu führt, das es ingesamt ein fehlerfreies Setup wird? Nimm einen Router der 2 WANs kann (der Watchguard sollte das können) und schliesse daran zwei modems an.
Damit die Telefonie immer tut:
Vorstellbar wäre: einen VoIP Provider nehmen, der unahängig von anbieter der Leitung ist. Damit wäre es möglich trotz ausfall eines physikalischen anschlusses weiterzutelefonieren (Weder telekom noch vodafone gestatten anschluss aus einem fremden netz).
Konfiguriere die WANs bezüglich derTel.Anlage als failover, also normalerweise wan1 und bei ausfall wan2, passend dazu die NAT-port weiterleitungen. Die Tel.Anlage einstellen auf dynamic IP. Den DNS namen bei dyndns registrieren und diesen Namen auch für die Tel.Anlage verwenden. Dann funkioniert auch die anbindung externer Telefone/Mobiltelefone etc.
Damit man noch ein bisschen telefonieren kann, wenn der Telefonie-anbieter ausfällt: einen anbieter dazunehmen, der ohne monatliche kosten/mit geringen kosten einen anschluss zur verfügung stellt, und, clip-no-screening erlaubt. Dann kann man wenigstens raustelefonieren.

 

[nobody]

Eigentlich wäre die beste option:
Kauf eine ISDN to VoIP gateway (z.B. Beronet) mit 2xISDN und 2X analog (praktisch für fax), das ist auch noch nicht soo teuer (bei 2 ISDN anschlüssen). Dann konfiguriere die FB+ die Digitalisierungsbox als VoIPtoISDN adapter. Nun kann man das Beronet wiederum an das ISDN anschliessen, dann in das netzwerk hinter dem watchguard router stellen, per VoIP die 3cx pbx am beronet anmelden, und, Du hast was Du möchtest. Ggf kann man mobiltelefonanbindung and die 3CX Anlage ja trotzdem einrichten, denn das braucht ja nur einen TCP port.

PS: zum vorherigen post: weder FB noch Digitalisierungbox sind einfach/wenn überhaupt so konfigurierbar dass die den VoIP traffic an die Telefonanlage durchreichen. Möglichlicherweise sogar überhaupt nicht, das kommt auf version/firmwarestand an.

 

[hcjurkat]

Hi,
danke für die Rückmeldung.
Das mit dem Doppelnatting ist wahrlich kniffelig. aber ich glaub mir ist gestern nacht ne Lösung eingefallen.
werde die FB und die Digibox ganz normal an die DSL Leitungen hängen und dort die Voip Anbindungen terminieren. dann dort jeweils neue Nebenstellen einrichten für die Anbindung an 3CX.
Die 3CX läuft als VM mit anderen Servern auf ner Hyper V, deswegen möchte ich die weiter hinter der Watchguard haben. ich werde die aber über ein eigenes VLan als zusätzliche externe Schnittstelle an die Watchguard im selben Subnetz wie die Fritzbox und die Digibox hängen. Dadurch entfällt das Natting auf der Watchguard. Die macht dann nur den Paketfilter zwischen den Schnittstellen.

die 3Cx richte ich mit 5064 und 5094 ein, dann stört sie die FB nicht und ich kann die benötigten Ports auf der FB forwarden.

werde ich so mal testen.

gruß
Holger

 

[hcjurkat]

Für Alle, die es interessiert:
Der Fehler war gedanklich auf der Watchguard. Hier waren die Default Nattings für die nicht öffentlichen IPs gesetzt. habe es jetzt so gelöst, dass ich die 3CX aus dem 192.168.x.x Adressbereich in den 172.16.x.x geschoben habe und die Natting Rule für 172.16 rausgenommen habe. (für 192.168. waren schon so viele Segmente aktiv, dass ich das nicht aufdröseln wollte). dann noch auf dem Interface ne 2. IP Adresse eingerichtet und ein 1:1 Natting. auf die die FB dann forwarded. damit geht es.

 

[ilias_3CX]

Hallo Holger,

Vielen Dank für deine Info!!!

 

[michah]

Die Tel.Anlage einstellen auf dynamic IP. Den DNS namen bei dyndns registrieren und diesen Namen auch für die Tel.Anlage verwenden. Dann funkioniert auch die anbindung externer Telefone/Mobiltelefone etc.

Muss denn dafür extra der DNS-Name bei dyndns registriert werden? Reicht es nicht aus, den 3cx-Server auf dynamische wechselnde IP umzustellen und dann den FQDN-Namen von 3cx zu verwenden?