3CX RTP-Ports ändern & nftables.conf FW-Regeln

[stefanb]

Hi

wir betreiben hier 2 3CX-Anlagen hinter einer Public-IP. Die RTP-Ports konnte ich mit FIRSTEXTPORT + LASTEXTPORT auf der zweiten Anlage "nach hinten" verschieben.

Zusätzlich musste ich die Range in /var/lib/3cxpbx/Bin/nftables.conf erweitern.

Nutzt das sonst jemand und überleben die Einstellungen ein Update?

 

[fxbastler]

Hallo,

Nutzt das sonst jemand

früher mal eine Zeitlang, aktuell nicht mehr

überleben die Einstellungen ein Update?

damals: ja

 

[bitn2]

Die Frage wurde doch schon von Euch im englischen Forum zur Erschöpfung diskutiert. Das ist weder supported noch funktioniert das wirklich gut. https://www.3cx.com/community/threa...-nftable-rules-persistence.86596/#post-408769

 

[fxbastler]

Das funktioniert schon recht gut. Die SIP und die Tunnel Ports umzulegen ist gar kein Problem. Die RTP Ports umzulegen geht auch recht problemlos. Den HTTPS Port beider Instanzen würde ich aktuell wegen Webmeetings auf die 443 umlegen und einen Reverse Proxy (haproxy) davor setzen der per SNI umschaltet. Das geht auch. Der entscheidet dann auf Grund des angefragten FQDN welche Instanz die Päckchen bekommt.

Die 'Hardliner' im englischen Forum, klar, predigen oft genug Wasser und trinken Wein.

 

[bitn2]

Den HTTPS Port beider Instanzen würde ich aktuell wegen Webmeetings auf die 443 umlegen und einen Reverse Proxy (haproxy) davor setzen der per SNI umschaltet.

Hast Du das mal getestet, hatte da Problem mit der Presence Anzeige wenn ich die Ports umgebogen habe. Bei den anderen Ports gebe ich Dir recht.

 

[fxbastler]

Keine mir bekannten Probleme (auch Statusanzeige) in der alten v16 Windows App, einer v18 Windows Desktop App (vor einigen Monaten, aktuell kann ich das halt nicht testen da es diese Konstellation nicht mehr gibt), der Android App, der iPhone App und im Webclient.

Die Tischtelefone sind eine andere Sache, die sollten pro Anlage je in ein eigenes physisches oder per VLAN sauber getrenntes Netzwerk (VLAN am Switch, nicht erst im Telefon). Die bekommen den Status per Multicast. Da würde die eine Anlage evtl. gar die anderen Telefone sehen und das könnte Probleme geben. Die Sorge hatte ich nicht.