Da ich euch die PN nicht einfach anhängen kann würde ich die wichtigsten Sachen hier nochmal aufschreiben.
fxbastler:
1. Was für ein Lancom Gerät bzw. Modell ist das?
2. Welche Optionen sind dort im Gerät aktiv?
3. Wie viele WAN Zugänge sind im Gerät angebunden?
4. Wer ist der ISP?
5. Was für eine Art WAN Zugang wird genutzt?
6. Welche DNS Server werden im Lancom und der 3CX genutzt?
Meine Antwort:
1. Das Modell ist ein LANCOM 1926VAG-5G.
2. Werde ich mit meinem Kollegen besprechen. Kannst du mir sagen, was du mit „Optionen im Gerät aktiv“ meinst?
3/5. Das mit den WAN-Zugängen müsstest du mir nochmal erklären, wie du das meinst. Du meinst aber nicht, wie viele Gegenstellen eingerichtet sind oder?
4. Telekom: Der genaue Vertrag ist ein „DeutschlandLAN Connect IP 100“. Wir planen aber bald auf CompanyFlex umzusteigen, da wir recht viele Verträge bei der Telekom haben und wir aktuell für jeden Vertrag einzelne Zugangsdaten haben.
6. Als DNS wird ein Windows-Server genutzt. Dieser ist auch als Weiterleitung im LANCOM eingerichtet. DNS-Split habe ich so wie von 3CX erklärt dort auch eingerichtet, falls dir die Info was bringt.
fxbastler:
zu 1:
Wird die 5G Internetverbindung genutzt?
zu 2:
Die Lancom Geräte können per Softwarelizenz um optionale Funktionen erweitert werden. Das sind dann eben aktivierte Optionen. Welche sind da aktiviert?
zu 3:
Mit WAN Zugang ist der Internetzugang gemeint. Im Lancom sind das Gegenstellen - wobei unter Gegenstellen im Lancom Sprech auch VPN Verbindungen verstanden werden. Es können eben auch mehrere Internetanbindungen in einem Gerät genutzt werden. Wenn nur einer vorhanden und genutzt wird dann umso besser für dein Problem.
zu 6:
Ist das eine Debian oder eine Windows 3CX?
So oder so sollte in der 3CX wohl eher vernünftige öffentliche DNS Resolver direkt genutzt werden damit Push später ordentlich funktioniert.
Meine Antwort:
1. Nein, wird aktuell nicht verwendet.
2. Okay, werde das besprechen.
3. Es sind tatsächlich 2 eingetragen. Eine wird für das Internet benutzt. Die andere Gegenstelle ist eine Standleitung von der Telekom, über die sämtliche VPN-Verbindungen von den anderen Standorten laufen.
6. Ist eine Windows-3CX-VM.
fxbastler:
zu 6:
Ich bin mir nicht sicher, ob die geänderten 3CX Ports sauber in der Windows Firewall eingetragen werden oder ob lediglich die Dienste als Ausnahmen registriert werden.
Im Zweifelsfall für Tests das Profil der Internetverbindung auf Privat stellen und die Firewall deaktivieren.
Was genau für eine Windows Version wird verwendet? Ist die Windows 3CX virtualisiert? Wenn ja: Was für ein Virtualisierer wird verwendet?
Meine Antwort:
Ja die 3CX Anlage ist virtualisiert. OS ist Windows Server 2019 Standard und als Hypervisor wird Hyper-V verwendet.
In der Windows Firewall waren tatsächlich noch die Ports 5060 und 5061 eingetragen.
Allerdings waren wieder die gleichen Ports nicht erreichbar selbst mit ausgeschalteter Firewall.
Ich habe die Ports auch mal in der Windows Firewall angepasst diese wieder eingeschaltet und die VM neu gestartet aber immer noch das gleiche Problem.
fxbastler:
Ist das Netzwerk des Windows im Profil privat? Siehe Systemsteuerung / Windows-Firewall, wo steht da 'verbunden'?
Mal andersrum gefragt: wo wird denn überhaupt grün? Nur bei STUN resolving und SIP ALG?
Das würde dann bedeuten dass keinerlei NAT Weiterleitung funktioniert. Der Firewall Checker prüft nur UDP Verbindungen. Da HTTPS nur TCP verwendet, wird diese Funktion nicht überprüft und wird vmtl. auch nicht funktionieren: Teste ob man von außen über das Internet per FQDN der 3CX auf die Anmeldeseite kommt. Ich nehme an: nein, das geht nicht.
1. Habt ihr an diesem verwendeten Internetanschluss eine feste öffentliche IPv4 Adresse?
2. Verweist der 3CX FQDN überhaupt von außen auf eure öffentliche IPv4 Adresse?
3. Ist diese WAN IP auch so in der 3CX unter Admin / Erweitert / Netzwerk als öffentliche Adresse richtig sichtbar und eingetragen?
Meine Antwort:
Also die VM ist im Domänen Netzwerk nicht im Privaten oder Öffentlichen und im Checker sieht das bei mir so aus also ja nur SIP ALG und STUN wird grün.
- resolving 'stun-eu.3cx.com'... done
- resolving 'stun2.3cx.com'... done
- resolving 'stun3.3cx.com'... done
- resolving 'sip-alg-detector.3cx.com'... done
- testing 3CX PhoneSystem 01 SIP Server... failed (How to resolve?)
- stopping service... done
- detecting SIP ALG... not detected
- testing port 5070... not reachable (How to resolve?)
- starting service... done
- testing 3CX PhoneSystem Media Server...
- stopping service... done
- testing port 5090... not reachable (How to resolve?)
- testing ports [9000..9398]...
Die RTP Ports kann er auch nicht erreichen.
Die FQDN ist mit dem Port 5001 von außen erreichbar.
1. Die IP-Adresse ist fest ja.
2. Nein das sollte aktuell nicht der fall sein, meines Wissens nach zeigt die FQDN auf die interne IP der 3CX nicht auf die öffentliche IP.
3. Ja ist exakt so eingetragen.
fxbastler:
Warum ist der Windows Rechner in der Domäne? Das bringt meines Wissens schon lange keinen Vorteil bzgl. irgend einer 3CX Funktion.
Wir stellen alle Telefonanlagen aus Sicherheitsgründen in je komplett eigenen Netzwerken auf. Das hat sich schon mehrfach bewährt. So eine Abschottung ist bei euch nicht möglich. Mit der Domänenanbindung öffnet man zudem Tore für potentielle Angriffe. Zumal: wenn da Gruppenrichtlinien angewandt werden kann das auch ein Grund
zu 2:
Wenn der FQDN von außen (aus dem Internet bzw. von außerhalb eurer eigenen Netzwerke) angefragt wird, dann sollte der auf eure öff. IP Adresse verweisen. Das hatte ich gefragt. Das muss so funktionieren.
Wenn der FQDN von einem eurer eigenen Netzwerke angefragt wird, dann sollte der auf die int. IP der 3CX verweisen.
Dieser Zuammenhang mit der Auflösung des FQDN abhängig vom Standort nennt sich Split DNS und ist notwendig für die Funktionalität der 3CX.
Meine Antwort:
Ich hab ehrlich gesagt gar nicht drüber nachgedacht die VM war bereits in der Domäne daher habe ich dann einfach mit der Installation von 3CX begonnen. Ich kann mal die VM aus der Domäne entfernen und dann nochmal gucken. Alternativ kann ich auch schauen gar keine VM zu verwenden.
Zu 2: Ich habe das ganze mal mit einem nslookup getestet intern bekomme ich die interne IP von 3CX aufgelöst und extern die öffentlich IP. Also das sollte passen so wie du es beschreibst.
Ergänzung:
So, ich habe jetzt nochmal einen PC genommen und dort 3CX installiert. Jetzt ist zwar 3CX noch im selben Netz, aber nicht mehr in der Domäne, und es ist immer noch Windows.
Die App verbindet sich normal, nslookup zeigt intern auf die interne IP und extern auf die öffentliche IP.
Der Checker hat aber immer noch Probleme bei SIP- und Tunnel-Port. Windows-Firewall habe ich nochmal ausgeschaltet und dann erneut getestet, aber hat keine Veränderung gebracht.
