Frage zu 3cx Audio Ports eingehend bei Firewall

[3cx-Forum-User2323]

Hallo,

Problem: QSC/PLUSNET hat zum SIP-TRUNK eine "eingeschränkte 2M Leitung mit einem ONE60 Modem dazu geliefert"
Die lokale 3cx soll bestenfalls auch über diese dedizierte 2M Leitung laufen, damit Server/Winow-sPC-Traffic und Telefonie sauberer getrennt sind.

Problem: QSC PLUSNET hat o.g. eingeschränkte Leitung wohl eher für CLOUD TK Anlage vorgesehen, denn wenn man z.B. QSC TENGO CENTRAFLEX hätte, muss man lokal ja nur das SNOM/YEALINK ans Netzwerk anschließen und ausgehender Traffic muss erlaubt sein. Eingehend müssen keine Ports auf die SNOM/YEALINK Endgeräte weitergeleitet werden. (wenn man eine CLOUD TK Anlage wie z.B. Placetel/Centraflex hätte)

Somit werde ich QSC frage, ob wenigstens UDP-Port 9000-10999 (default) eingehend weitergeleitet werden könnte, damit 3cx Audio funktioniert. << sehe ich das richtig das für "nur 3cx Telefonie-Audio" UDP-Port 9000-10999 eingehend erlauben ausreicht?

Smartphone App, Webclient, Softphone würde wahrscheinlich nicht gehen, das ist klar.

Protocol	Port (Default)	Description	Port Forwarding Required
TCP	5001 or 443	v15+: HTTPs port of Web Server. This port can be configured.	Yes – if you intend on using a 3CX client, Bridge Presence, Remote IP Phones from outside your LAN and 3CX WebMeeting functionality.
TCP	5015	V15+: This port is used for the online Web-Based installer wizard (NOT 3CX config command line tool) only during the installation process.	Optional - During the installation process when the Web-Based installer is used from external source
UDP & TCP	5060	3CX Phone System (SIP)	Yes – if you intend on using VoIP Providers, WebRTC and Remote Extensions that are NOT using the 3CX Tunnel Protocol
TCP	5061	3CX Phone System (SecureSIP) TLS	Yes – if you intend on using Secure SIP remote extensions
UDP & TCP	5090	3CX Tunnel Protocol Service Listener	Yes -if you intend on using remote extensions using the 3CX Tunnel Protocol (within the 3CX clients for Windows / Android / iOS) or when using the 3CX Session Border Controller
UDP	9000-10999 (default)	3CX Media Server (RTP) – WAN audio/video/t38 streams	Yes – if you intend on using remote extensions or a VoIP Provider
TCP	443	3CX WebMeeting Audio and Video. Not to be opened on the PBX. Must be opened on the network on which the webmeetings will take place.	Yes – if you intend on using 3CX WebMeeting
TCP	2528	3CX SMTP Server - Must allow PBX passthrough on the network for the PBX to send email notifications via the 3CX SMTP.	No

 

[bitn2]

Dieses Modem hat ja keine eigene Firewall, was nutzt ihr denn vor Ort? Wenn diese Leitung von QSC zur Verfügung gestellt wird, was sagen die denn zum Thema Firewall?

 

[3cx-Forum-User2323]

QSC PLUSNET hat dieses Gerät Vorort installiert:

Ekinops - Empower Your Network

Ekinops is a leading provider of high-capacity Optical Transport and OTN switch solutions, extensive range of physical and virtualized Voice & Data Access platforms and networks added value through a Software-Defined approach

www.oneaccess-net.com

Das Gerät ONE60 ist durch den Endkunden nicht selbst managebar.

 

[bitn2]

ist mir klar, deswegen meine Frage was QSC zum Thema Firewall sagt und was ihr vor Ort nutzt.

 

[3cx-Forum-User2323]

vorort ist eine Watchguard

 

[3cx-Forum-User2323]

QSC sagt, "es handelt sich um eine dedizierte VOIP Leitung"

 

[bitn2]

vorort ist eine Watchguard

Ist dort denn alles entsprechend konfiguriert? Portfreigaben, NAT Regeln, Routen usw das die Anlage über die VOIP Leitung raus geht?

 

[3cx-Forum-User2323]

ja, die 3cx geht bisher die andere 10M QSC Leitung raus und rein.
Diese 10M Leitung ist von den PCs und Server in Nutzung.

Die Idee ist nun, über die QSC 2M Leitung nur Telefonie laufen zu lassen.
Das geht jedoch nicht, weil QSC nur eine eingeschränkte 2M Leitung "geliefert hat"

Mittels Watchguard Policy kann man die Aufteilung ja auch auch realisieren. (Funktion heißt bei Watchguard SD-WAN)

 

[bitn2]

Was passiert denn wenn die Anlage auf die 2M Leitung umgeschwenkt wird? Was sagt QSC denn zum Thema Firewall? "Eingeschränkt" ist ja relativ und keine wirkliche Aussage.

 

[3cx-Forum-User2323]

wenn man eine Test-Windows 10 Maschine (3cx läuft auch auf einer anderen Windows 10 VM) über die Watchguard SD-WAN-Policy auf die 2M Leitung umschwenkt ist kein surfen/ping mehr möglich.

Ich kenne es bei QSC so, dass die Geräte auch Firewall sind, d.h. jede Portfreigabe muss nachgefragt werden (wenn man kein exposed host bestellt hat)

 

[bitn2]

Surfen und Ping laufen ja auch auf anderen Ports als VOIP. Ich würde, da anrufen und denen mitteilen welche Ports sie freigeben sollen.

 

[nobody]

Man braucht hier 2 netzwerkschnittstellen:
Eine zu QSC und eine in das oeffentliche netzwerk.
Die nat Freigaben fuer die pbx, die sind nur if der netzwerkschnittstelle notwendig, die zum Internet zeigt.
Bei QSC die Routen erfragen die notwendig sind um den Datenverkehr der zu QSC geht auseinanderzudividieren (ich dachte mich zu erinnern, dass ich die notwendigen Routen auch mal hier im Forum gepostet habe, finde das aber im Moment nicht).

 

[nobody]

Ich habe den post mit den Routen gefunden

SIP Trunk bei QSC Plusnet mit Trägerleitung (QSC liefert extra Internetleitung zum SIP Trunk dazu)

Hallo, Problem: über die vorhandene SDSL 15M Leitung laufen derzeit die 15 PCs sowie die 3CX, es kommt nicht selten zu Tonqualitätsproblemen. Als PLUSNET Kunde kann man den SIP Trunk ja mit und "ohne Träger(internet)leitung bestellen. Aktuell ist die 2mbit Trägerleitung damals mit bestellt...

www.3cx.de