Provisionierung via HTTPS

[Michael Weber]

Hallo zusammen,
ich hatte bereits einen anderen Beitrag über das Provisionieren und als Lösung haben wir die Bereitstellung über HTTP laufen lassen.
Meine neue Anfrage wäre, wie wir die Provisionierung über HTTPS laufen lassen können. Alle automatisch generierten Links sind immer HTTPS, was nur dann zu Problemen führt, wenn nur HTTP funktioniert und wir es manuell anpassen müssen.
Unser System ist selbst gehostet und hat ein Zertifikat über letsencrypt.
Es ist auch die V20 auf Debian.

 

[fxbastler]

Hallo @Michael Weber

Meine neue Anfrage wäre, wie wir die Provisionierung über HTTPS laufen lassen können. Alle automatisch generierten Links sind immer HTTPS, was nur dann zu Problemen führt, wenn nur HTTP funktioniert und wir es manuell anpassen müssen.

So wie ich den ersten Satz verstehe, wollt ihr per HTTPS provisionieren. Der erste Teil des zweiten Satzes bestätigt das ja und so wie ich das dort geschriebene verstehe funktioniert genau das auch.

Wie ist denn dann die Frage?

Mal andersrum, Bonusfragen:
Wurde das Telefon als Local LAN / VPN und mittels Auswahl des FQDN an die 3CX angeschlossenes Telefon eingerichtet? Wenn ja, dann erscheint am Ende der Einrichtung der Provisionierungslink, per https und FQDN. Ist das bei euch nicht so?

 

[Michael Weber]

Hallo fxbastler,

genau richtig. Alles genau wie von dir beschrieben.
Allerdings funktioniert das eben nur nicht bei allen Geräten. Zum Beispiel unsere Yealink W80DM kann nur per http provisioniert werden.
Auch hab ich das Problem, dass auf dem Yealink T54W (welches per HTTPS provisioniert wurde) das Telefonbuch nur dann lädt, wenn der Link händisch angepasst wurde.

Es scheint also irgendein Problem in bestimmten Fällen mit der HTTPS Provisionierung zu geben und wir können es nicht identifizieren. Weder auf der Firewall noch auf der Admin Konsole tauchen Fehlermeldungen auf.

 

[fxbastler]

Zum Beispiel unsere Yealink W80DM kann nur per http provisioniert werden.

Das kann ich gerade nicht nachvollziehen weil kein Gerät da. Rein technisch sollte das möglich sein. Wie ist denn dessen Provisionierung aktuell seitens 3CX eingerichtet? Was rollt die 3CX in die W80DM aus oder bleibt dort der Link der Autoprovionierung leer oder ändert ihr den?

Auch hab ich das Problem, dass auf dem Yealink T54W (welches per HTTPS provisioniert wurde) das Telefonbuch nur dann lädt, wenn der Link händisch angepasst wurde.

Das T54W ist direkt per LAN an die daneben stehende 3CX angebunden (kein Router Phone)? Bei uns kommt das Telefonbuch auf diese Weise. Was genau stimmt denn an dem Link nicht?

 

[Michael Weber]

Was rollt die 3CX in die W80DM aus oder bleibt dort der Link der Autoprovionierung leer oder ändert ihr den?

Wir haben uns da an die Anleitung gehalten und müssen den Provisionierungslink händisch auf der Webkonsole des IP Telefons eintragen. Der Link welcher dafür automatisch von 3cx generiert wird ist https. Die Provisionierung funktioniert allerdings nur wenn wir den Link als http einfügen.

Das T54W ist direkt per LAN an die daneben stehende 3CX angebunden (kein Router Phone)? Bei uns kommt das Telefonbuch auf diese Weise. Was genau stimmt denn an dem Link nicht?

3cx läuft bei uns in einem gesonderten Netzwerk, entsprechend ist das T54W als Routerphone konfiguriert.

Was genau stimmt denn an dem Link nicht?

Genau Das versuchen wir herauszufinden.

 

[fxbastler]

entsprechend ist das T54W als Routerphone konfiguriert.

Genau dann sollte das Telefon das Telefonbuch definitiv per HTTPS bekommen.

Die Provisionierung funktioniert allerdings nur wenn wir den Link als http einfügen.

Beides zusammen deutet auf ein DNS / Split DNS / Zertifikatproblem hin.

Unser System ist selbst gehostet

Im eigenen Haus (das wäre so oder so on-premise) oder fremd anderswo (in einem femden RZ)? Wenn letzteres, wird dann für die Telefonie im Haus, speziell das W80DM, ein SBC verwendet - ja / nein?

und hat ein Zertifikat über letsencrypt.

Ähnlich diesem Schema oder ganz anders?

 

[bitn]

Hallo zusammen,

ich würde mich mal mit dem Laptop in das Netzwerk/VLAN verbinden und die URL mit dem FQDN der 3CX aufrufen.
Wenn da dann ein Zertifikatsfehler kommt habt ihr wie @fxbastler schrieb ein Split DNS Problem.

 

[Michael Weber]

Ich hab meinen Laptop ins VoiP VLAN verbunden und es gibt keinen Zertifikatsfehler.

Und unser 3cx Server läuft auf unserer eigenen Serverlandschaft. Durch das Router Telefon sollte das ja allerdings auch irrelevant sein.

 

[fxbastler]

Ich hab meinen Laptop ins VoiP VLAN verbunden und es gibt keinen Zertifikatsfehler.

Das ist nicht alles.
Wird per nslookup aus jeglichem LAN die IP der 3CX geliefert? Wird das LE Zertifikat aus der .fullchain in der 3CX verwendet? Ist Secure SIP aktiviert und werden auch dort die richtigen Zertifikatdateien verwendet? Daher mein Link oben.

Und unser 3cx Server läuft auf unserer eigenen Serverlandschaft.

Also doch on-premise. Dann ist fraglich, warum das T54W als Router Phone eingesetzt wird. Aber ja, auch so etwas geht und das sollte funktionieren.

 

[Michael Weber]

Also doch on-premise. Dann ist fraglich, warum das T54W als Router Phone eingesetzt wird. Aber ja, auch so etwas geht und das sollte funktionieren.

Das war lediglich zum testen. Nur um sicherzustellen, dass der Unterschiedliche Netzbereich kein Problem macht. Wir haben es als lokales und als Router Telefon eingerichtet gehabt.

Wird per nslookup aus jeglichem LAN die IP der 3CX geliefert? Wird das LE Zertifikat aus der .fullchain in der 3CX verwendet? Ist Secure SIP aktiviert und werden auch dort die richtigen Zertifikatdateien verwendet? Daher mein Link oben.

nslookup -> Ja wird geliefert
LE Zertifkat -> wird verwendet
Secure SIP -> haben wir aktiviert und die LE Fullchain verwendet.

 

[fxbastler]

So wie ich das alles lese: Pakete auf der 3CX, dem Switch davor und / oder dem Telefon und dem DM mitschneiden und per wireshark auswerten. Das Telefonbuch muss auf jeden Fall kommen. Die Provisionierung per https grundsätzlich auch.

 

[Michael Weber]

Vielen Dank für die Mithilfe bei der Suche nach dem Problem.
Wir haben gefühlt alles getestet und jetzt als letztes Mittel das V20 Update 1 installiert. Und tatsächlich hat das geholfen.

Alles funktioniert wie erwartet
Viele Grüße
Michael