Brauche Unterstützung - Sicherheit, SBC

[chris2374]

Hallo,
ich brauche bitte mal Euren Rat.

Ich habe die 3CX vor unsere Infrastruktur installiert. D.h. ich habe mir von unserer Glasfaserleitung eine feste IP genommen, eine Fritzbox drangehangen und die Ports konfiguriert. Letztlich als wenn die 3CX in der Cloud ist, nur dass sich alles in unseren Räumlichkeiten befindet. Gemacht habe ich das, weil ich aufgrund der häufigen Angriffe auf die bekannten Ports die 3CX nicht in unserer Infrastruktur haben möchte.

Die Web- und Mobilapps verbinden sich ja ohnehin über einen Tunnel mit der 3CX. Nicht aber Telefone. So wie ich das verstanden habe, binde ich diese über den 3CX-SBC ein.

Verstehe ich das richtig, dass ich nun eine 3CX-SBC Instanz in unserer Infrastruktur installiere und diese dann mit der 3CX, welche sich extern befindet über den SBC verbinde? Mir geht es darum, dass die Verbindung über SIP nicht sicher ist und die Telefone über den SBC einen Tunnel aufbauen. Und ist dieses Vorgehen sinnvoll?

Vielen Dank für Eure Unterstützung!
Chris

 

[bitn2]

Warum begrenzt Du die Zugriffe auf Port 5060 nicht auf die IPs deines Anbieters? Wenn Du eine vernünftige Feierwall nutzt, brauch man auch keine Angst vor "Angriffen" haben.

 

[chris2374]

Danke für Deine Antwort!
Weil wir im Moment noch einen Forefront benutzen, der in den kommenden Wochen durch was zeitgemäßeres ersetzt wird und nicht noch unnütz Zeit für die Konfiguration verbringen möchte.
Deswegen habe ich die Konfiguration so aufgebaut, dass das ganze auch ohne den Forefront funktioniert. Ich kann den nicht mehr sehen. Der schafft ja noch nicht Mal was anderes als 443 für eine sichere Verbindung.

Wie gesagt läuft ja auch so prima. Nun will ich nur die Telefone gesichert anbinden.

 

[bitn2]

Ok, verstehe. Dann bleibt Dir nur die Möglichkeit per SBC. Anleitung findest Du hier bei 3CX: https://www.3cx.de/docs/sbc-installation/

 

[chris2374]

Vielen Dank!

 

[mbehrens]

Hallo,
ich brauche bitte mal Euren Rat.

Ich habe die 3CX vor unsere Infrastruktur installiert. D.h. ich habe mir von unserer Glasfaserleitung eine feste IP genommen, eine Fritzbox drangehangen und die Ports konfiguriert. Letztlich als wenn die 3CX in der Cloud ist, nur dass sich alles in unseren Räumlichkeiten befindet. Gemacht habe ich das, weil ich aufgrund der häufigen Angriffe auf die bekannten Ports die 3CX nicht in unserer Infrastruktur haben möchte.

Die Web- und Mobilapps verbinden sich ja ohnehin über einen Tunnel mit der 3CX. Nicht aber Telefone. So wie ich das verstanden habe, binde ich diese über den 3CX-SBC ein.

Verstehe ich das richtig, dass ich nun eine 3CX-SBC Instanz in unserer Infrastruktur installiere und diese dann mit der 3CX, welche sich extern befindet über den SBC verbinde? Mir geht es darum, dass die Verbindung über SIP nicht sicher ist und die Telefone über den SBC einen Tunnel aufbauen. Und ist dieses Vorgehen sinnvoll?

Vielen Dank für Eure Unterstützung!
Chris

Ob das sinnvoll ist, mag ich nicht beurteilen.

Man könnte auch der 3CX ein zweites Bein geben oder einen SIP Proxy in Form von Hard- oder Software als SBC davorstellen. Ein Portfilter wäre auch nicht schlecht.

 

[mbehrens]

Danke für Deine Antwort!
Weil wir im Moment noch einen Forefront benutzen, der in den kommenden Wochen durch was zeitgemäßeres ersetzt wird und nicht noch unnütz Zeit für die Konfiguration verbringen möchte.
Deswegen habe ich die Konfiguration so aufgebaut, dass das ganze auch ohne den Forefront funktioniert. Ich kann den nicht mehr sehen. Der schafft ja noch nicht Mal was anderes als 443 für eine sichere Verbindung.

Wie gesagt läuft ja auch so prima. Nun will ich nur die Telefone gesichert anbinden.

Das passt ja perfekt zusammen. Wer sicherheitskritische Komponenten auf dem Niveau betreibt, braucht sich bei dem bischen SIP und Webservices auch keine Gedanken machen. Da braucht man auch keinen wie auch immer gearteten SBC mehr. Aber hinterher bitte nicht über erhöhte Telefonkosten ärgern.

 

[bitn2]

Das passt ja perfekt zusammen. Wer sicherheitskritische Komponenten auf dem Niveau betreibt, braucht sich bei dem bischen SIP und Webservices auch keine Gedanken machen. Da braucht man auch keinen wie auch immer gearteten SBC mehr. Aber hinterher bitte nicht über erhöhte Telefonkosten ärgern.

Das soll ja durch eine vernünftige Firewall ersetzt werden, so wie ich das verstanden habe. Man könnte natürlich vorübergehend die 3CX einfach so mit ins Netz hängen ohne SBC da die 3CX das ja schon recht gut macht mit dem blocken der Anfragen auf 5060. Aber grundsätzlich sehe ich das auch so, aktuell brauch man sich nicht wirklich Gedanken über SIP machen wenn der Rest auch nicht wirklich geschützt ist.