Best Practice Testsystem

[mplad]

Ich habe den unter V20 nicht geändert und der steht so in der 3CX-Oberfläche. D.h. nehme ich mal an, dass es dieser ist. Was heißt denn genau unter anderem? Reicht der Standard SSL-Port oder benutzen die Clients weitere?

 

[fxbastler]

Ich habe den unter V20 nicht geändert und der steht so in der 3CX-Oberfläche.

Dann ist es 443.

Reicht der Standard SSL-Port oder benutzen die Clients weitere?

Die 3CX Clients benutzen weitere, vor allem den in der 3CX eingestellten Tunnel Port.

https://www.3cx.de/docs/adminhandbuch/firewall-router-konfiguration/

 

[mbehrens]

Ein Problem besteht aber weiterhin, dass sich externe Clients via FQDN nicht connecten können. Dafür ist der Port 443 gedacht, korrekt? VG

Da wir die konkrete Konfiguration nicht kennen, kann dies der Fall sein, muss aber nicht

 

[mplad]

Ich nochmal,
tatsächlich kam ich erst gestern wieder zum testen. Anlage, SIP etc. funktionieren nun, allerdings schmeißt mir der Webserver der 3CX (Debian, demzufolge nginx nehme ich an) ein 403 Forbidden entgegen und das Zertifikat wird als invalid ausgegeben. Wie gesagt, interne wie externe IP haben sich geändert. Das Zertifikat nochmal neu ausstellen lassen, eventuell? Und wenn ja, wie? Danke.

 

[bitn2]

Oha, was auch immer du nun angestellt hast. Das darf und sollte bei einer sauberen Installation mit Rückspielen des Backups nicht passieren. Am besten noch mal von vorne und vor allem die Firewall prüfen.

 

[fxbastler]

allerdings schmeißt mir der Webserver der 3CX (Debian, demzufolge nginx nehme ich an) ein 403 Forbidden entgegen und das Zertifikat wird als invalid ausgegeben. Wie gesagt, interne wie externe IP haben sich geändert.

Sofern das Backup ein gültiges Zertifikat beinhaltet hat und sich der FQDN nicht ändert sollte das nicht passieren. Das Ändern irgendwelcher IP hat nichts damit zu tun.

Verweist der FQDN auf die richtige 3CX (insbes. von extern, insbes. auch zum Zeitpunkt der Wiederherstellung)?
Ist das Zertifikat noch gültig (Zeitraum)?
Wurde der FQDN unverändert belassen so wie er war?
Wurde das Zertifikat in der Sicherung unverändert belassen so wie es war?

Wenn alle vier Fragen mit ja beantwortet werden können, dann sollte das funktionieren. Sonst den vier Fragen auf den Grund gehen.

Vorsicht beim wiederholten Versuch des Ausstellens von Zertifikaten (mehrf. Wiederherstellung mit Erzwingen der Erneuerung oder Zurücksetzen der 3CX und Einspielen eines veränderten Backup): wenn ein von 3CX gestellter FQDN verwendet wird, dann gelten die LE Rate Limits beim Ausstellen.
https://letsencrypt.org/docs/rate-limits/
speziell: https://letsencrypt.org/docs/rate-limits/#limit-2

 

[mplad]

Das Zertifikat habe ich bisher noch nicht neu ausgestellt und ist noch gültig. Der FQDN blieb unverändert. Ich deaktiviere die Live-3CX meist einige Minuten vorher und fahre danach das Backup hoch und teste. Gut möglich, dass diese Vorgehensweise nicht die beste ist. Ich habe komplett die VM als Backup zurückgespielt. Änderungen an Zertifikaten etc. habe ich nicht vorgenommen, lediglich die IP-Adressen angepasst.

Ich bin geneigt, das ganze System noch einmal neu aufzusetzen und das Backup der 3CX selbst zurückzuspielen.

 

[mbehrens]

tatsächlich kam ich erst gestern wieder zum testen. Anlage, SIP etc. funktionieren nun, allerdings schmeißt mir der Webserver der 3CX (Debian, demzufolge nginx nehme ich an) ein 403 Forbidden entgegen und das Zertifikat wird als invalid ausgegeben. Wie gesagt, interne wie externe IP haben sich geändert. Das Zertifikat nochmal neu ausstellen lassen, eventuell? Und wenn ja, wie? Danke.

IP Adressen sind hier bei 3CX prinzipbedingt nicht enthalten.
DNS funktioniert fehlerfrei, Uhrzeit stimmt?

 

[mplad]

IP Adressen sind hier bei 3CX prinzipbedingt nicht enthalten.
DNS funktioniert fehlerfrei, Uhrzeit stimmt?

Uhrzeit stimmt, das interne DNS konnte ich noch nicht anpassen. Aber zumindest von extern sollte das Zertifikat doch korrekt erkannt werden oder übersehe ich hier was?

 

[fxbastler]

Aber zumindest von extern sollte das Zertifikat doch korrekt erkannt werden ...

Wenn auch wirklich von extern angefragt wird und dort der FQDN auf die IP der lfd. 3CX verweist: ja.

 

[mbehrens]

Uhrzeit stimmt, das interne DNS konnte ich noch nicht anpassen. Aber zumindest von extern sollte das Zertifikat doch korrekt erkannt werden oder übersehe ich hier was?

Dann schau mit geeigneten Tools in den Datenstrom.

 

[mplad]

Ich versuche es später mal mit einer Zertifikatserneuerung. Wenn das fehlschlägt, werde ich das System mal neu aufsetzen. Anderen Ansatzpunkt habe ich nicht mehr.