Teams SBC Status dauerhaft "inaktiv"

[approxgmbh]

Hallo zusammen,

leider haben wir bei einem unserer Kunden ein Problem mit der Teams Integration.
Ich hoffe ihr könnt mir weiterhelfen.

Facts:
- 3cx Version: 20.0. Update 6 (Build 700 Beta)
- Lizenz: Enterprise 16SC
- Linux Server
- Teams FQDN: teams.KUNDE.de
- 3cx FQDN: KUNDE.on3cx.de
- Zertifikat ist von SSL.com
- Microsoft Lizenzen siehe unten

Wir haben die folgende Anleitung hergenommen:

https://www.3cx.de/docs/adminhandbuch/microsoft-teams/

Wir haben die Teams FQDN beim Kunden im Admin Portal angelegt, sowie einen A-Eintrag auf die Feste IP-Adresse der 3cx hinzugefügt.
Auflösung ist auch ok.

Was mit zum Nachdenken bringt, wenn ich die Adresse "teams.KUNDE.de" im Browser aufrufe, kommt eine Zertifkatswarnung, diese enthält das Zertifikat "KUNDE.on3cx.de" (Lets Encrypt), sollte hier nicht mein teams Zertifikat kommen?

Firewall Port 5062 ist freigegeben.

Das Wählplan sowie Nutzerskript sind auch erfolgreich, allerdings ist im Direct Routing nur "Inactive" im SBC zu sehen.





Ich tippe auf ein Problem mit dem Zertifikat, komme allerdings nicht auf die Lösung.

Würde mich über Hilfe freuen.

Grüße

Michael

 

[bitn2]

Du solltest am besten auch der Anleitung folgend die du verlinkt hast. Der FQDN ist falsch.

 

[approxgmbh]

Unter Schritt 2 ist doch die rede von "teams...." FQDN.
"(z. B. MS365-Domäne: contoso.com, Teams-FQDN kann sein: teams.contoso.com)."
Bin ich so blind?

 

[bitn2]

Vor Schritt 1 hast du beachtet? Zertifikat ist in der 3cx hochgeladen?

 

[approxgmbh]

Hallo,

habe das Zertifikat von SSL.com erworben, wie auch in der Anleitung.

Habe das Zertifikat inkl. Private Key unter Integrationen -> Teams stehen.
Hier erkennt er auch das richtige Datum.

Grüße

Michael

 

[bitn]

Hallo,

der Zertifikatsfehler auf dem Webserver Port ist normal, da ja an den Webserver das Lets Encrypt Zertifikat gebunden ist. Das neue Zertifikat wird ja für die Verbindung zu Teams benötigt.
Von welcher CA wurde das Zertifikat ausgestellt ?

Beste Grüße

 

[approxgmbh]

Hallo,

ausgestellt von "SSL.com RSA SSL subCA"

CN = SSL.com RSA SSL subCA
O = SSL Corporation
L = Houston
S = Texas
C = US

Grüße

 

[bitn]

Hallo,

dann hast du eins über die falsche CA bestellt. So wie ich es im Kopf habe muss das Zertifikat als Root CA die DigiCert Global Root G2 haben. Ist ewig her das ich das mal testweise implementiert habe bei uns.

Im Microsoft Artikel steht dazu

• Überprüfen Sie, ob die Zertifikatausstellungskette von der folgenden Stammzertifizierungsstelle stammt:
  • DigiCert Global Root G2

Der komplette Artikel:

Planen von direktem Routing - Microsoft Teams

Erfahren Sie, wie Sie mit Microsoft Direct Routing einen unterstützten vom Kunden bereitgestellten Session Border Controller (SBC) mit Microsoft Teams Telefon verbinden können.

learn.microsoft.com

 

[approxgmbh]

Hi,
vielen Dank erstmal für die Info.
Lt. Microsoft in der Liste der Liste der eingeschlossenen Zertifizierungsstellenzertifikate, steht sogar das Root CA drin...
CN = SSL.com Root Certification Authority RSA
O = SSL Corporation
L = Houston
S = Texas
C = US

Hättet ihr sonst einen Tipp, welches Zertifkat zu empfehlen ist?
Laut Anleitung reicht ja mein "Basis SSL" Zertifikat...

Grüße

Michael

 

[mbehrens]

Lt. Microsoft in der Liste der Liste der eingeschlossenen Zertifizierungsstellenzertifikate, steht sogar das Root CA drin...

Der Fingerprint stimmt?

 

[mbehrens]

Habe das Zertifikat inkl. Private Key unter Integrationen -> Teams stehen.
Hier erkennt er auch das richtige Datum.

Die Zertifikatsketten stimmen?

 

[approxgmbh]

Guten Morgen,

Der Fingerprint stimmt?

ja, "b7ab3308d1ea4477ba1480125a6fbda936490cbb" der passt.

mbehrens:
Die Zertifikatsketten stimmen?

wie würde ich diese überprüfen?
Erhalte so keine Fehlermeldung in dem Zertifikat.

Grüße

 

[bitn]

Ich bleibe dabei das Zertifikat SSL.com Root Certification Authority RSA ist nicht geeignet oder bzw. nicht mehr geeignet

Aus dem Artikel:
Für Direct Routing in Office 365 GCCH- und DoD-Umgebungen muss eine der folgenden Stammzertifizierungsstellen das Zertifikat generieren:

• DigiCert Globale Stammzertifizierungsstelle
• DigiCert High Assurance EV Root CA

 

[approxgmbh]

Hi,
dann sollte man die Anleitung aber ändern .

Ich denke, ich werde es mal mit einem DigiCert versuchen...

Ich halte euch auf dem laufenden.

Vielen Dank aber bis hier hin

Grüße

Michael

 

[mbehrens]

Ich bleibe dabei das Zertifikat SSL.com Root Certification Authority RSA ist nicht geeignet oder bzw. nicht mehr geeignet

Aus dem Artikel:
Für Direct Routing in Office 365 GCCH- und DoD-Umgebungen muss eine der folgenden Stammzertifizierungsstellen das Zertifikat generieren:

Es dürfte sich wohl kaum um eine US Regierungsumgebung handeln.

 

[approxgmbh]

Nö, nicht wirklich

 

[mbehrens]

wie würde ich diese überprüfen?

In die Zertifikatsdatei schauen. testssl.sh sollte das prüfen können.

 

[approxgmbh]

Zertifikatsdatei zeigt soweit keine Fehler an...

 

[avraammich_3CX]

Hi,

Von Microsoft zugelassene SSL Zertifikate hier

Evtl. mal eine Wireshark Aufzeichnung starten und prüfen.

Als Referenz folgende Anleitung beachten:
https://www.3cx.com/docs/microsoft-teams-integration-faqs/#h.hoorao7nd0fk

 

[bitn]

Hallo,

wir haben unser Zertifikat damals bei SSL Market gekauft für 14 Euro ausgestellt von Rapid SSL die Root CA von Rapid SSL ist DigiCert.
Leider kann ich nicht weiter unterstützen da wir aktuell keinen mehr haben der Teams DirectRouting nutzt.