Frage zum 3CX Client

[angry]

Hallo zusammen,

unser Dienstleister kriegt es nicht auf die Kette für unsere Smartphones mobile Zugänge einzurichten und verunsichert uns mit Sicherheitsbedenken, als Argumentationshilfe würde gerne mal wissen ob das wirklich stimmt. Hier die Auszüge aus den Mails:

1. ----------
Oeffnen der 3CX nach extern
Heisst nichts anderes als mehrere Ports zur 3CX hin / Ins Unternehmensnetzwerk zu oeffnen:
• UDP: 5060 3CX Phone System SIP (default).
• UDP: 9000-9255: RTP Audio/Video Exchange with remote extensions (default).
• UDP & TCP 5090: 3CX Tunnel Protocol Service (default).
Das bedeutet aber gleichwohl, das der 3CX Server nun mit mehreren Fuessen (mehr als 250) OFFEN im Internet steht
Und damit auch DEFINITIV zum Angriffsziel wird. Port 5060 ist z.b. der aktuell weltweit am haeufigsten
Attakierte Port.
-----------
2. -----------
ich kann Ihnen eine Konfigurationsdatei zukommen lassen, diese wird Ihnen jedoch nicht weiterhelfen.

Ich hatte gesagt, dass es einen Client gibt, Sie aber mit diesem Client immer einen Internetanschluss verwenden müssen bzw. automatisch das mobile Datenvolumen benutzt wird. Des Weiteren müssten wir die komplette Telefonanlage öffentlich ins Internet stellen, damit Sie den Client benutzen können.
Dies stellt einerseits ein erhebliches Sicherheitsrisiko dar, andererseits benötigen wir dafür eine freie IP-Adresse die wir im Netzwerk ihres Unternehmens nicht zur Verfügung haben.
-----------

Stimmt das ? Wir können das nicht verifizieren. Falls dem so ist, wie wird dies denn in der Regel gelöst ?

 

[ipsolutioncenter]

Hallo,

zu1) Ja das ist so richtig, es werden einige Ports benötigt um die 3CX von aussen zu erreichen. Mit entsprechender Sicherheit (ACLs, VLAN, DMZ, sichere Kennwörter) seh ich persönlich hier nicht das große Problem.

zu2) Das mit dem Client ist klar, eine Art Internetverbindung muss schon bestehen. Auch die Aussage mit der IP ist richtig, wobei eine IP reicht.

Bei mir im Office laufen auch mehrere Dienste (HTTP,HTTPS,IPSec, SFTP, VoIP) über die gleiche öffentliche IP.

Gruß
Jochen

 

[angry]

Problem ist das dies für unseren Dienstleister nach eigener Aussage die einzige 3CX Installation ist und wir den Eindruck haben das er keine Ahnung davon hat und wir quasi die Versuchskaninchen sind. Wir hatten die 3CX nicht explizit angefragt, er hat sie uns empfohlen. Jetzt will er uns stattdessen alternativ eine SWYX Anlage verkaufen welche wahrscheinlich einen 5-stelligen Betrag kosten wird.

Unser Unternehmen hat lediglich 35 Mitarbeiter wovon höchstens 10 einen mobilen Zugang brauchen würden. Unser Dienstleister sagt uns das die 3CX dafür viel zu klein sei was wir uns nicht vorstellen können. Möglicherweise bräuchten wir eine Lizenzerweiterung aber die wäre doch sicher nicht so kostspielig wie eine komplett neue Anlage.

 

[ipsolutioncenter]

Darf ich fragen ob der Dienstleister noch mehr für euch macht? Oder macht der nur die TK Themen?

Also die 3CX ist mit Sicherheit nicht zu klein. Eine SWYX-Anlage dürfe aber denk ich mit den gleichen Problemen zu kämpfen haben was das Thema von außen erreichbar sein angeht.

 

[ipsolutioncenter]

Gern können Sie mich auch direkt kontaktieren, dann können wir das mal durchsprechen. Heute und Morgen allerdings nur über Mobil und Mail erreichbar.

Tel: +49 (0) 8637 9896150
Fax: +49 (0) 8637 9896155
Mobil: +49 (0) 171 3868195
Internet: www.ip-solutioncenter.de
Mail: [email protected]

 

[levsteel]

Ohne offene Ports funktioniert nunmal nichts.
Das Problem haben andere Anlagen genau so. Und Möglichkeiten, sich zu schützen gibt es ja auch.
Außerdem besteht die Möglichkeit, den 3CX-Tunnel zu verwenden.
VPN ist auch immer eine Möglichkeit.

Unsere 3CX liegt bei cloud4you.biz - mit denen bin ich ganz zufrieden, auch wenn die hin und wieder noch dazu lernen.
Preis-Leistung stimmt dort jedoch in jedem Fall.

 

[atbadmin]

Ich habe schon mehrere 3CX eingerichtet. Das mit den Softphone-Clients ist alles richtig. Entweder kommunizieren Sie mit der 3CX über mehrere offene Ports im Internet, oder die Verbindung wird über einen Port (5090 als Standard) getunnelt. Allerdings benötigt das Softphone auch noch HTTPS um die Präferenzen zu ziehen. Für Eure Installation muüsste man sich die Anzahl der lizenzierten Sprachkanäle anschauen (16 dürften reichen). Ansonsten sehe ich den Einsatz einer SWIXX vollkommen überdimensioniert.

Was ein bisschen trickie ist, ist die Einrichtung der App (Android und IPhone) mit der WakeOnLan-Funktion. Dass bedeutet, dass die Smartphones bzw. die 3CX-App auch im Ruhezustand aufgeweckt wird wenn der Anruf klingelt.

Für weitere Fragen bin ich unter der 0172-2380112 erreichbar.