Neukunde/Neuinstallation on premises, 30 Nebenstellen: Best Practices?

[poddie]

Hallo geschätzte Community,

ich bin Dienstleister eines Unternehmens mit ca. 30 Nebenstellen und wir installieren demnächst eine 3cx on premises.

Ich habe folgende Fragen, die vielleicht schon im Voraus beantwortet werden können, damit die Installation möglichst reibungslos wird:

1. bitte keinen Hinweis auf einen Vertriebspartner, die Lizenz wird gekauft und ansonsten hole ich mir hier keine Marktbegleiter ins Haus Ich betreibe bei mehreren Kunden on premises Anlagen (Starface, Askozia etc), dies wird meine erste 3cx.
2. welche Telefone funktionieren am Besten? 3cx scheint Fanvil zu bevorzugen, die ich persönlich haptisch etwas knarzig und minderwertig finde, ich bevorzuge Snom. Ist mit Snom auch alles möglich?
3. Wir haben eine recht potente Hyper-V Umgebung. Installation daher als Gast bevorzugt. Ratsam oder lieber Hardware-Installation (warum?)
4. Es ist weitestgehend ein Windows-Netzwerk, damit hat aber das System der 3cx wenig zu tun und ich kann auch Linux. 3cx lieber auf Debian oder Windows?
5. Was ist best practice für Home Office Telefone/Softphones? Die Home Office Arbeitsplätze verbinden sich alle per IKEv2 VPN ins Netzwerk und auf den Terminalserver und das wird innerhalb der nächsten Wochen und dann bis 2030 sicher jedes Jahr häufig benutzt. Der 3cx Client kann per RDP nicht als Softphone benutzt werden. Ich möchte aus Sicherheitsgründen ungerne den ggf. malware-bestückten Privat-PC von Benutzern (nicht alle haben Firmen-Laptops) direkt mit einem Softphone über VPN ins Netzwerk lassen. Ich schaue mir das Webinar zu externen Nebenstellen noch an
6. iOS/Android Softphone App über Port Forward: Funktioniert das zuverlässig auch mit dem NAT der Consumer-Hardware zu Hause, sind die Geräte erreichbar oder verlieren sie die Verbindung?
7. Betrifft 2, 5 und 6: Kann ich den Leuten zu Hause notfalls einfach irgend ein billiges DECT-Handset mit einer Gigaset Go Box 100 hinstellen, die sich direkt mit meiner on premises 3cx verbindet?
8. Ist 3cx sicher genug (Äquivalent zu fail2ban etc.), um an offenen Ports im Internet betrieben zu werden, oder wird davon abgeraten? Passwörter im Klartext in der Datenbank und so… Was wäre die Alternative?
9. TAPI aus dem CRM auf dem Terminalserver wird über https://wordpress.t38printer.de/ gelöst, oder gibt es eine hauseigene, zuverlässige TAPI Schnittstelle?
10. Wird sich nicht viel von anderen Anlagen unterscheiden, aber: Wie ist die Performance an einer marktüblichen 40/100 VDSL-Leitung mit 10-20 extern eingebundenen VoIP Telefonen, die mäßig, aber regelmäßig (Bürobetrieb, kein Call Center) telefonieren. Ist das machbar oder wird das problematisch? Der Lancom Router an der Büroleitung bekommt QoS für VoIP, die Router der Leute zu Hause kann ich nicht beeinflussen
    
    Vielen Dank für das geduldige Lesen und Beantworten meiner Fragen

 

[fxbastler]

Hallo,

Teil 1

dies wird meine erste 3cx.

Ich würde das vorher schon mal austesten wollen. Auch wenn viel geht, es geht nicht alles. Es sind die Kleinigkeiten (z.B. auch Fax).

Ist mit Snom auch alles möglich?

Grundsätzlich ja. Was meinst du mit 'alles'? Teste für den Anwendungsfall.

Ratsam oder lieber Hardware-Installation

Geht, kein Problem. Beachte das Zeitproblem und die Hinweise von 3CX dazu: keine Synchronisation der VM mit dem Host durch die VM Einstellungen! Das soll die selber mit einem NTP machen sonst hoppelt die Zeit und die Sprache.

3cx lieber auf Debian oder Windows?

Geschmacksache, geht beides, wir bevorzugen unbedingt Debian.

Was ist best practice für Home Office Telefone/Softphones?
...
Ich möchte aus Sicherheitsgründen ungerne den ggf. malware-bestückten Privat-PC von Benutzern (nicht alle haben Firmen-Laptops) direkt mit einem Softphone über VPN ins Netzwerk lassen

Fehler im System: keine BYOD Mentalität aufkommen lassen. Insbesonders rein rechtlich sollte auf Arbeitsdaten nur mit firmeneigenen Geräte (Eigentum) zugegriffen werden sollen und können. Unbedingt.

Ansonsten: probieren. Es gibt sehr verschiedene Ansätze zur Lösung, je nach Nutzungsszenario.

iOS/Android Softphone App über Port Forward: Funktioniert das zuverlässig auch mit dem NAT der Consumer-Hardware zu Hause, sind die Geräte erreichbar oder verlieren sie die Verbindung?

Das funktioniert wunderbar. Die meisten Probleme entstehen: a) wenn das Smartphone zu alt ist (Betriebssystem), b) wenn auf dem Smartphone einfach zu viel Schrott nebenher läuft, c) das WLAN des Mitarbeiters nicht gut für VOIP Telefonie geeignet ist (wie so oft). Jeder der drei Punkte bewirkt Aussetzer, mindere Gesprächsqualität oder Nichtfunktionalität. Insbesonders das heimische WLAN wird oft überschätzt. Die sind alle so schlau, meinen auch 'alles andere funktioniert'. Klar, ist aber kein VOIP. Per Mobilfunknetz ab 3G - sofern der Empfang ausreicht und die Netzauslastung nicht gerade zu gross ist - geht es 'immer'.

billiges DECT-Handset mit einer Gigaset Go Box 100

Das funktioniert grundsätzlich, siehe Einrichtung STUN. Ich würde von 3CX supportete Endgeräte bevorzugen, insbes. bei STUN. Ebenso: vorher testen.

 

[fxbastler]

Teil 2

Ist 3cx sicher genug (Äquivalent zu fail2ban etc.)

Ist eingebaut. Dennoch: Firewall davor! Ebenso: Netzwerke trennen. Das komplette Telefonie Netzwerk sollte physisch oder wenigstens per VLAN von allen anderen Netzen separiert werden.

TAPI aus dem CRM auf dem Terminalserver wird über https://wordpress.t38printer.de/ gelöst

Ja. Unbedingt vorher testen!

Wie ist die Performance an einer marktüblichen 40/100 VDSL-Leitung mit 10-20 extern eingebundenen VoIP Telefonen

'Reicht'.

Lancom Router an der Büroleitung

Oje, das kann ein Problem werden. Das ist grundsätzlich kein Problem der 3CX sondern wäre eher ein vom Lancom verursachtes.

 

[poddie]

Wow, vielen Dank, ich arbeite das ab!
Bei dem Lancom-Problem kann ich mich gleich entspannt zurücklehnen, es wird kein Lancom WLAN benutzt.

 

[fxbastler]

kann ich mich gleich entspannt zurücklehnen

Die per default aktivierten Bridges waren bei uns das Problem. Alles von denen trennen und Daumen drücken. Es gibt noch andere kleinere Fallstricke. Die Probleme kommen nicht unbedingt gleich von Anfang an.

 

[poddie]

Na ja ich hab noch über den Daumen 5 weitere on premises pbx hinter Lancom und die laufen alle. Veilleicht habe ich ja Glück

 

[poddie]

Ist eingebaut. Dennoch: Firewall davor! Ebenso: Netzwerke trennen. Das komplette Telefonie Netzwerk sollte physisch oder wenigstens per VLAN von allen anderen Netzen separiert werden.

Darf ich hier noch mal einhaken und um eine Empfehlung zu best practices bitten:

Was verträgt 3cx besser:

• wenn ich die Telefone und die 3cx ins VLAN hänge und nur per Firewall die Ports, die für die CTI notwendig sind, in der Firewall öffne
• wenn ich nur die Telefone ins VLAN hänge und dann per Firewall mit der 3cx, die im PC-VLAN hängt, kommunizieren lasse?

In diesem konkreten Fall habe ich einen eigenen von der Telekom gestellten Lancom, der bisher über eine dedizierte DSL-Leitung den SIP-Trunk auf ISDN wandelte. Die Internetleitung für den SIP-Trunk wird also weiterhin separat von der normalen Internetleitung betrieben werden. Ich könnte also theoretisch ein ganz eigenes, autarkes Telefon-LAN erstellen und nur für die CTI-Funktionen eine Firewallregel durchlassen.

Ich hab's bisher so wie im ersten Punkt beschrieben gemacht, da sind es allerdings Hardware Appliances. Als Hyper-V Gast ist das für die PBX nicht grundlegend anders, aber ich muss das entsprechend planen

 

[fxbastler]

wenn ich die Telefone und die 3cx ins VLAN hänge und nur per Firewall die Ports, die für die CTI notwendig sind, in der Firewall öffne

Wir bevorzugen diese Variante - allerdings nicht mittels VLAN. Wir bauen ein richtiges separates Netzwerk in der Firewall auf. Das wird nur notfalls per VLAN zu den entspr. Switchen getunnelt, dort aber wieder ohne VLAN an den jeweiligen Ports, der 3CX und der Endgeräte nativ anliegend. An der Firewall hat dann nur die 3CX selektiv Zugang nach aussen und auch in das Internet - keines der sonstigen Geräte des Telefonienetzwerkes. Damit nicht mal ein ganz schlauer ein Telefon an den falschen Port im falschen Netz anhängt sind die MAC der Telefonhersteller in den Switchen und auch der Firewall nur zulässig für das Telefonienetz. Damit ist alles schön flach und einfach: ein eigenes Netz, kein VLAN an einem Endgerät, Geräte funktionieren nur dort, kein Internet für die Geräte.

Ich könnte also theoretisch ein ganz eigenes, autarkes Telefon-LAN erstellen und nur für die CTI-Funktionen eine Firewallregel durchlassen.

Ja, auch praktisch, siehe Absatz zuvor.

Ich hab's bisher so wie im ersten Punkt beschrieben gemacht, da sind es allerdings Hardware Appliances.

jawoll ja

Als Hyper-V Gast ist das für die PBX nicht grundlegend anders, aber ich muss das entsprechend planen

Wir nehmen i.d.R.am Hyper V gar eine eigene NIC und dan einen eigenen HV Switch dafür. Wir haben's ja ...

 

[sir116]

Hallo Leute!
Ich habe bei einem Kunden auch ein VLAN mit IP-Telefon und 3CX in der CLOUD. Nun funktioniert die TAPI Anwahl nur mittels Rückruf der 3CX. Das VLAN wird die direkte Kommunikation vom 3CX Windows Phone zum IP-Telefon Y.T54 verhindern. Was und welche Ports muß der Firewall-Administrator einstellen? Bitte um eure Hilfe.

 

[fxbastler]

anderes Thema + anderes Problem

Bitte dazu einen eigenen neuen Foreneintrag erstellen und nicht diesen kapern.

 

[Andreas Conrad]

... dort aber wieder ohne VLAN an den jeweiligen Ports, der 3CX und der Endgeräte nativ anliegend. An der Firewall hat dann nur die 3CX selektiv Zugang nach aussen und auch in das Internet - keines der sonstigen Geräte des Telefonienetzwerkes

Interessant, der Ansatz ist auf jeden Fall sehr direkt - auch dass wenn möglich eine eigene NIC auf dem VM-Host für die 3CX abgestellt wird. Das setzt natürlich einiges an Kontrolle über das Netzwerk voraus und fordert einen eigenen NTP Server im LAN für die Telefoniegeräte.

 

[fxbastler]

fordert einen eigenen NTP Server im LAN für die Telefoniegeräte

Alle Geräte im Netzwerk (letztlich auch die DC) bekommen bei uns ihre Uhrzeit i.d.R. einheitlich von der Firewall als Zeitserver. Von Clients ausgehende Anfragen an externe Zeitserver werden auf die Firewall selber umgeleitet und von dieser beantwortet. Das Teil darf ja auch gern redundant sein, mehrere Zeitquellen haben und gar die Zeit per USB GPS empfangen (langes Kabel aus'm Serverrack raus bis dahin wo Empfang ist). Genauer und dauerhafter geht's dann kaum noch. Als vertrauenswürdiges Gerät steht die eigene Firewall ganz weit oben.

Und wenn das Teil selber mal nicht funktioniert dann gibt es kein Internet, keine externe Telefonie sondern nur intern, keine 3CX App, keine Verbindung zu anderen Computernetzen, kein CRM, keine Webclients, kein TAPI usw.. Dann interessiert auch nicht eine evtl. auftretende Zeitdrift (nach x Monaten).