Problem Provisionierung Yealink T46S (über Router-Phone T54W)

[User2254]

Liebe Forenmitglieder,

wir stehen aktuell vor einem sehr merkwürdigen Problem.

Ausgangssituation:

• Migration von einer alten 3CX V20 auf eine neue 3CX V20 in unserer eigenen Cloud.
• Neue Lizenz, neuer FQDN, Wiederherstellung per Backup.
• Die Anlage selbst funktioniert einwandfrei, Telefonie und alle anderen Funktionen laufen problemlos.

Die Yealink T46S liefen bis vor wenigen Stunden noch auf der alten 3CX-Instanz. Dort wurden die IP-Telefone aus den Nebenstellen gelöscht und anschließend auf Werkseinstellungen zurückgesetzt.

Problem:

Am Kundenstandort (hinter einer FortiGate-Firewall) lassen sich die Telefone nicht provisionieren.

Auch wenn wir die Provisionierungs-URL manuell eingeben, wird die Provisionierung dort nicht erfolgreich abgeschlossen.

Nehmen wir dieselben Telefone jedoch in ein anderes Netzwerk (ohne FortiGate), funktioniert die Provisionierung nach manueller Eingabe der Provisionierungs-URL. Anschließend registrieren sich die Telefone und funktionieren problemlos.

Bringt man diese bereits provisionierten Telefone danach wieder an den Kundenstandort hinter die FortiGate, funktionieren sie dort ebenfalls ohne Probleme.

Zusätzlich auffällig:

• Die automatische Provisionierung (nur MAC-Adresse in der 3CX hinterlegen und Telefon einschalten) funktioniert auch im Netzwerk ohne FortiGate nicht. Die Telefone finden die Provisionierung also nicht automatisch.
• Einige Telefone blinken dauerhaft mit der roten LED, andere hören nach einiger Zeit von selbst auf.
• Zwei Telefone zeigten plötzlich "Insert PIN" bzw. "Insert Serial Number" an. Nach Eingabe der geforderten Seriennummer führten sie einen Factory Reset durch und verloren anschließend ihre Provisionierung.

Hat jemand schon ein ähnliches Verhalten beobachtet oder eine Idee, warum die Erstprovisionierung scheitert, während bereits provisionierte Telefone am selben Standort anschließend problemlos funktionieren? Außerdem würde uns interessieren, warum die automatische Provisionierung über die MAC-Adresse auf der neuen Instanz überhaupt nicht greift.

Vielen Dank im Voraus!
LG Alex

 

[fxbastler]

@User2254
Ohne weitere Analysen, Tests und Logs (der 3CX und der Firewalls) muss ich in meine Glaskugel schauen und die liefert spontan folgende Bilder:

1. es kann ein RPS Problem sein: die Telefone hängen evtl. beim Hersteller noch am alten FQDN und es wird versucht, mit diesem bei Erstinbetriebnahme mit der MAC Verbindung aufzunehmen; das scheitert, also alle MAC zurücksetzen lassen
2. ein Zertifikatproblem, hatten wir die letzten Tage auch mehrfach: die Telefone kennen das Zertifikat der ISRG Root YR CA nicht / vertrauen dem nicht, siehe https://letsencrypt.org/de/certificates/ , also das Zertifikat der ISRG Root YR CA herunterladen und manuell in die Telefone einspielen; das sieht man, das kann man prüfen, das kann man beheben

Die Liste kann durchaus länger sein, das sind nur spontane erste Einblicke in die Glaskugel.

Ich an eurer Stelle würde auf der 3CX einen Paketmitschnitt laufen lassen und wissen wollen, ob die Telefone für die Provisionierung am neuen Standort überhaupt irgendeine Verbindung zu dieser 3CX aufnehmen. Wenn da gar nichts kommt, dann stützt das Punkt 1. Wenn da etwas kommt, dann würde ich schauen, von welcher CA das akt. 3CX Zertifikat ausgestellt wurde (s.o.) und die im Telefon hinterlegten CA prüfen. Die Log Dateien der 3CX geben noch mehr her. Auch die der Fortigate, z.B. wohin die Telefone nach dem Werksreset kommunizieren - wenn die das denn können und dürfen.

Aber wenn du hier als Kunde schreibst: bei so einem Problem ist es sinnvoll den 3CX Partner einzubeziehen.

Bringt man diese bereits provisionierten Telefone danach wieder an den Kundenstandort hinter die FortiGate, funktionieren sie dort ebenfalls ohne Probleme.

Da kommt die Frage auf wie lange das gut geht. Es besteht durchaus die Möglichkeit, dass die Halbwertzeit dort gering ist.

Bei dem Punkt

Neue Lizenz, neuer FQDN, Wiederherstellung per Backup.

kommen weitere Fragen auf. Der Vorgang ist nicht ganz intuitiv, das weiß ich. Es gibt wohl gar Leute, die schreiben Werkzeuge dafür. Aber das später, eventuell ...

 

[Patrick B_easyinttel.de]

Unter welchem Port versucht das Yealink T46S den Yealink Provisionierungsserver zu erreichen? Ist dieser Port frei geschaltet?

 

[Claas Beyersdorf]

Da Du schreibst, dass es in einem anderen Netzwerk funktioniert die Telefone zu provisionieren würde ich als erstes prüfen ob die Fortigate TLS inspection aktiviert hat.
Und ob korrekt ein Ausnahme für die Url der 3CX eingetragen wurde.

Weil das wird auf Fortigates gerne aktiviert, aber dann muss natürlich auch irgendwer von Hand das CA Zertifikat der Fortigate auf jedes Telefon hochladen. Oder halt in die Ausnahme Liste aufnehmen.

Aber wie @fxbastler schon schreibt sind Installationen mit Fortigates erfahrungsgemäß definitiv etwas wo man seinen Partner mit ins Boot holen sollte.

 

[patrickb]

Um einen RPS Reset zu machen kannst du das Telefon nochmal in der alten Anlage hinzufügen und dort entfernen ums zu testen. Sollte die alte Anlage schon offline sein, kannst du es über den 3CX Support freigeben lassen oder über jemand anderen der RPS Removals machen kann, ohne jedes mal ein Ticket erstellen zu müssen .

Den Standortwechsel musst du mal genauer betrachten. Das die Telefone nachdem du sie in einem anderen Netz manuell provisionieren konntest am Fortinet Standort gehen ist i.d.R. nachvollziehbar (die Daten für SIP sind ja da und ok) wahrscheinlich schlägt am Fortinet Standort aber eine erneute Provisionierung (auch manuell) wieder fehl (kannst du mit BLF Tasten Änderung testen). Das wiederum spricht für ein Problem mit dem Zertifikat - z.B. Proxy mit SSL Interception dazwischen etc.

 

[User2254]

Vielen Dank für eure Unterstützung!