3CX schickt plötzlich keine Register Pakete zum Provider

[timmbo]

Hallo.

Seit geraumer Zeit fällt mir, dass die 3CX zum Provider immer wieder mal keine Registerrequests stundenlang mehr sendet und somit keine eingehende Gespräche mehr ankommen.
Ein mtr funktioniert, somit klappt DNS und das Ziel ist auch erreichbar.
Im Firewall-Log sieht man genau, das von der 3CX keine SIP Pakete mehr zum Ziel gehen.
Heute 13:51 das letzte mal und um 14:09 kam die Unregistered Mail.

Kennt das jemand von Euch, oder hat eine Idee, für einen Ansatz?
Ein Reboot der Anlage hat nichts gebracht.

 

[Claas Beyersdorf]

Um dazu irgendwas hilfreiches sagen zu können braucht man sicherlich mehr Informationen zum Setup.

Hosted by 3CX kann ich natürlich ausschließen wegen mtr aber on prem oder im RZ.

Welcher Provider?
Ist der Firewall check grün?

Das beschriebene Problem ist mir jetzt erstmal so nicht bekannt. Das die 3CX sogar ne mail schickt deutet für mich eigentlich darauf hin das der Fehler wo anders liegt.

Wobei mtr ja auch nichts darüber aussagt ob irgendwas die SIP Verbindung stört. TCP/UDP gegen ICMP...

Ich würde jetzt auf die Firewall tippen. Aber für wirklich valide Tipps braucht man halt mehr Informationen.

Wenn on prem wäre bestimmt auch noch interessant welche Firewall hängt davor.

Ist es Hardware oder läuft es als VM und welcher Hypervisor ist im Einsatz.

 

[timmbo]

Hallo.

Die anderen Provider gehen, somit wäre es eigentlich nichts grundlegendes.
Es ist eine Sophos XGS, interessanterweise kommt da im LiveLog nichts an.
Habe die IP vom Provider auch schon als whitelist in der 3CX hinzugefügt.
ESXi und im RZ. Der RZ Betrieber blockt nichts, ist ein Callocation Center.

Im pcap File der 3CX zeigt es ein Register-Request auf die IP des Providers, also grundsätzlich sendet die 3CX etwas aus. Ja Firewallcheck ist OK, gerade nochmals durchgeführt.

Update: Habe mir nun alles Logs der Sophos angesehen und bin tatsächlich in den IPS Regeln fündig geworden.

2026-09-27 14:07:34

Signatures

Drop

185.208.37.11

83.137.45.115

20362

PROTOCOL-VOIP Call-ID header multiple Call-ID headers

protocol-voip

BSD,Linux,Mac,Other,Solaris,Unix,Windows

Server

6

Ciao

 

[Claas Beyersdorf]

Der verwendeten Provider ist immer noch von Interesse.

Verwendet der z.B. TCP und die anderen dann UDP?

Das Du im PCAP ausgehende Pakete siehst lässt mich auf UDP Tippen weil bei TCP müsste es eine stehende Verbindung geben und wenn die Firewall die Pakete nicht sieht wäre das unwahrscheinlich.

Ich würde wirklich mal die Unterschiede der Provider anschauen. Transport, IPv4 oder IPv6.

Wenn die anderen Funktionieren gibt es ja vermutlich einen Unterschied zum problematischen Trunk.

 

[timmbo]

Habe gerade ein Update gesendet.

 

[timmbo]

So, nun ist Bluesip wieder registriert.
Warum da das Antwortpaket wo konfus war, dass das IPS gegriffen hat, keine Ahnung.
Aber ich sehe inzwischen mit der XGS so einige VoIP Angriffe, die das IPS blockt.

 

[bitn2]

Die entsprechenden Ausnahmen im IPS für die 3cx eingestellt?

 

[timmbo]

Hallo Jan.

Habe inzwischen eine Regel dafür angelegt, welche das IPS beim Traffic vom Provider ausnimmt.
Warum vom Provider allerdings mehrere Call-IDs in dem Paket stehen, ergibt sich nicht, der Provider ist darauf auch nicht eingegangen, hat einfach das Ticket geschlossen.

 

[bitn2]

Hallo Jan.

Habe inzwischen eine Regel dafür angelegt, welche das IPS beim Traffic vom Provider ausnimmt.
Warum vom Provider allerdings mehrere Call-IDs in dem Paket stehen, ergibt sich nicht, der Provider ist darauf auch nicht eingegangen, hat einfach das Ticket geschlossen.

Die 3cx sollte immer, wie jede Telefonanlage, vom IPS ausgenommen sein. Die andere Frage kann nur der Provider beantworten.

 

[timmbo]

Hallo Jan.

Da bin ich anderer Meinung, aber jeder wie er möchte.
Das Problem scheint ja durch die Ausnahmeregel für die Provider-IP, gelöst zu sein, keine Meldungen und Ausfälle mehr.

 

[bitn2]

Hallo Jan.

Da bin ich anderer Meinung, aber jeder wie er möchte.
Das Problem scheint ja durch die Ausnahmeregel für die Provider-IP, gelöst zu sein, keine Meldungen und Ausfälle mehr.

VOIP und IPS/IDS verträgt sich nicht. Das hast du ja selber gemerkt und mit der Regel gelöst.

 

[timmbo]

Wie geschrieben, da bin ich anderer Meinung.
Das es da mal zu einem Problem in 20 Jahren VoIP geben kann, ist ja nichts besonderes.
Aber dafür das Sicherheitsmodul komplett für die 3CX zu deaktivieren, halte ich für nicht gut.
Aber lassen wir die Diskussion über dieses Thema, wir sind halt da unterschiedlicher Meinung und das darf auch so sein.

 

[bitn2]

Wie geschrieben, da bin ich anderer Meinung.
Das es da mal zu einem Problem in 20 Jahren VoIP geben kann, ist ja nichts besonderes.
Aber dafür das Sicherheitsmodul komplett für die 3CX zu deaktivieren, halte ich für nicht gut.
Aber lassen wir die Diskussion über dieses Thema, wir sind halt da unterschiedlicher Meinung und das darf auch so sein.

es reicht ja dies für den VOIP Traffic zu deaktivieren, aber das kommt im Grunde aufs gleiche raus. Fakt ist, IDS/IPS zerhackt dir den VOIP Traffic und du hast die oben genannten Probleme.