Keine VPN-Verbindung mit T42G möglich

[DeNiro]

Hallo zusammen, ich hoffe wirklich mir kann jemand weiterhelfen, denn ich bin am verzweifeln...

Folgende Ausgangslage: Wir haben über einen 3CX Hostinganbieter eine Professional Dauerlizenz v.16.0.8.9 auf einem Debian-System am laufen. Wir benutzen den 3CX-Webclient über Chrome, haben Vor-Ort in den Büros Yealink T3x und T4x Telefone, welche über Hotdesking wunderbar funktionieren. Also soweit so gut.

Jetzt mein eigentliches Problem: Wir wollen auch unsere Außenstellen mit Yealink-Telefonen (um genau zu sein T42G) ausstatten und diese sollen sich per VPN-Zertifikat an unserer Anlage anmelden (inkl. Provisionierung) und aus mir nicht und unseren Hostinganbieter nicht erklärlichen Gründen wollen sich unsere T42G nicht per VPN verbinden... jetzt könnte es zig Ursachen haben warum, aber ausschließen können wir unsere Firewall, die VPN-Zertifikate, die Konfiguration der Telefone und der 3CX-Anlage, denn unsere Tests hier Vor-Ort haben ergeben, dass ein T46G, welches exakt gleich konfiguriert wird wie unsere T42G sich per VPN wunderbar verbindet und Provisioniert. Gleiche Konfiguration, gleiches VPN-Zertifikat, gleich Nebenstelle usw. bei einen T42G und das Telefon zeigt immer nur "Warning - No Service" an. Gleiche Konfiguration, gleiches VPN-Zertifikat, gleich Nebenstelle usw. bei einen T46G und das Telefon zeigt das V im Display für das VPN an und hat den Nutzer/Nebenstelle provisioniert. Firmware ist auf beiden Telefonen auf den aktuellsten Stand.

Jetzt zu meiner Frage: Hat jemand hier schonmal etwas ähnliches erlebt und den Fehler beheben können? Oder kann sich jemand vorstellen warum das T46G ohne Probleme sich verbindet per VPN und das T42G eben nicht? Kann irgendjemand bei diesem Problem eventuell weiterhelfen? Ich hoffe es wirklich sehr. PS: noch als Info, laut unseren Hostinganbieters haben andere Kunden von Ihm auch T42G und T41P per VPN am laufen und da funktioniert alles wie es soll.

Ich bedanke mich bei euch allen jetzt schon im voraus für die Hilfe

VG
DeNiro

 

[patrickb]

Wenn es sich um ein Hosted by 3CX handelt, dann kannst du die Telefone nicht direkt anbinden (Einschränkung bei Hosted).
Du brauchst dazu einen SBC an dem Standort wo die Telefone stehen oder musst sie manuell mit Sip Daten provisionieren (was ich aber nicht empfehlen würde).

Ich würde generell immer einen SBC nutzen, egal bei welcher Config. De baut ja auch einen Tunnel auf. Als SBC würde ich einfach einen Raspberry.

 

[DeNiro]

Hi @patrickb , erstmals viele Dank für deine Antwort.
Soweit mir bekannt, handelt es sich nicht um ein Hosted by 3CX, sondern um ein eigenständiges Hosting unseres Anbieters (welches ich jetzt aus verschiedenen Gründen nicht namentlich nennen möchte). Einen SBC haben wir, aber nur an dem Standort, an dem wir die Telefone als Hotdesking-Geräte betreiben. Mein Problem ist eigentlich eher, dass die vorgeschlagene VPN-Konfiguration zu funktionieren scheint, aber leider halt nur mit einem T46G statt mit den T42G-Telefonen... Das ist mein eigentliches Problem. Also es funzt so wie es soll, aber leider nicht mit allen Telefon-Typen.

VG
DeNiro

 

[patrickb]

Wie siehts denn mit der Telefon-Firmware aus? Hast du da mal manuell die Firmware aktualisiert wuf die von 3CX unterstützte Version?

 

[DeNiro]

Hi, ja, ist alles aktuell. Sowohl bei den T46G als auch den T42G

 

[avraammich_3CX]

Hi,

starte ein pcap auf dem Server sowie Log Level am Telefon aktivieren.

Kommt auf der Anlage ein Register überhabt an?
Sendet Anlage 407 Proxy auth and das Telefon?

Kommt das 407 am Telefon an?

Sendet das Telefon ein neues Register mit Authentication Details?

War das Telefon vorher evtl. mit Stun Methode provosioniert?

 

[DeNiro]

Hi @avraammich_3CX , die Telefone wurden jeweils zurückgesetzt und aus der 3CX-Anlage komplett entfernt. Auch wenn ich die Frage ob das Telefon vorher mit Stun Methode provisioniert wurde nicht beantworten kann, hoffe ich doch, dass es durch den Factory Reset und dem entfernen aus der Anlage hinfällig sein dürfte.

PS: Bin nicht der Hardcore 3CX-Profi... kannst du mir eventuell sagen wie ich ein pcap auf der Anlage starten kann? Wenn es nur über den Server geht, dann muss ich dafür auf meinen Hoster zurückgreifen, da wir keinen direkten Zugriff auf die VM haben. Aber was ich denke beantworten kann ist, dass auf der Anlage kein Register ankommt für die T42G-Telefone... nur für die T46G. Zumindest zieht sich weder das Telefon, die Konfig aus der Anlage noch registriert die Anlage, dass sich da ein neues T42G per VPN anbinden möchte... zumindest sieht es so aus.

 

[avraammich_3CX]

Hi,

nein das stimmt nicht ganz.

Falls das Telefon via stun provisioniert wurde muss du nach einem factory reset 2 Wochen warten.

Gerne kannst du mir die MAC vom Telefon in PM senden so das ich dieses prüfen kann.