Upgrade 18 -> 20 ohne Zugriff von außen

[Stefan D.]

Hallo zusammen,
wir nutzen die 3cx on premise auf einem Windows Server schon seit ewigen Zeiten rein lokal hinter einer dichten Firewall und wollen die PBX eigentlich auch nicht von außen erreichen können, da wir uns aus dem Homeoffice via VPN einwählen und keine mobilen Clients nutzen wollen.
Bis zur 18 hatten wir bei der Installation kein Problem, wenn die 3cx nicht über unsere statische IP von außen erreichbar war.
Geht das mit der V 20 auch noch? Ich habe keine Anleitung gefunden, wie ich die Installation motivieren kann, dass sie die Anlage nicht über https von außen erreichen möchte.
Die Installation der 20 bleibt nach dem Einspielen des Backup beim Aktivieren des Zertifikats hängen.
Kann mir da jemand eine kurzen Tipp geben wie wir da weiterkommen?
Vielen Dank schon mal!
LG Stefan

 

[NOObert]

Hi!
Das Zertifikat ist aber notwendig um den FQDN als vertrauenswürdig einzustufen.
Keine Kommunikation-> kein Zertifikat. Ich glaube das ist auch Teil der Lizenzaktivierung auf dem 3cx Server.
Du wirst ja bestimmt nicht Port 443 sondern 5001 verwenden. Den könntest du ja ggf nach der Installation den Port in der Firewall wieder schließen? Der ist ja dann nicht mehr notwendig außer für die 3cx.... VG

 

[Stefan D.]

Hi!
Da die PBX ja von außen gar nicht erreichbar sein muss, bräuchte ich ja weder FQDN (bzw. hätte den ja rein intern über DHCP) noch einen offenen Port in der Firewall.
Dass man das durch Umkonfiguration der Firewall hinbekommen würde, ist schon klar. Ist aber eben ein Aufwand und ein Restrisiko, das ich eigentlich vermeiden wollte. Wir haben keinen unserer Server mit einer Verbindung von außen nach innen; der gesamte Verkehr von außen muss via VPN erfolgen.
Die aktuelle Konfig läuft halt schon Jahrzehnte in der Form. Ist halt blöd, wenn das jetzt dann nicht mehr geht und man ein Sicherheitsloch öffnen muss, nur um die Telefonanlage zum Laufen zu bekommen.

 

[NOObert]

Durch die Verwendung des FQDN für "innen und außen" haben die Mädels und Jungs bei 3cx einfach viele Vorteile der Erreichbarkeit mit einer Klappe erschlagen.
Aber ich glaube ich kann dich vielleicht etwas beruhigen.... Die Kommunikation bzw die Aktivierung dauern keine 5min.
Da die Ports im unprivilegierten Bereich bei Portscans erst viel später von Angreifern genutzt werden , sollten die Angriffsvektoren doch sehr gering sein. Danach wird die Regel deaktiviert bis du sie wieder brauchst. (Stichwort Lizenzverlängerung)

 

[Stefan D.]

Ok, dann müssen wir wohl in den sauren Apfel beißen.
Wo finde ich denn die Info, welche Ports wir da öffnen müssen?
Gibt's evtl. eine Anleitung für eine Sophos?

 

[NOObert]

Na 5060/5061 und die Audioports hast du ja schon frei. 5090 (Tunnel) brauchst du nicht, bleibt eigentlich nur der Standardport für die Anlage übrig. Im Normalfall also 5000/5001 oder eben 80/443 wenn die so installiert wurde.
Eine Anleitung speziell 3cx->sophos kenne ich nicht, aber Portweiterleitungen sind ja für jede Firewall bei Youtube mehrfach vorhanden. Ich habe keine im Einsatz.

 

[fxbastler]

Wenn ich die Antworten hier so lese wird mir nicht besser. Dafür gibt es keine Entschuldigung.

Ja, so eine vollständige Liste der benötigten Ports ein- und ausgehend mit der Beschreibung der jew. Funktionen so wie früher ist leider aktuell nicht mehr bei 3CX zu finden. Die von mir eben im Archiv gefundene Liste ist nicht mehr vollständig:
https://web.archive.org/web/20230306073055/www.3cx.com/docs/ports/

Die aktuelle publizierte Liste ist kürzer und trennt nicht zwischen ein-, ausgehend und nicht klar zw. den Diensten:
https://www.3cx.de/voip-sip/ports/

Für eingehend / Weiterleitung ist die aktuelle 3CX Liste gut. Alles Andere sollten Netzwerker wissen, s.u.

Das was der TO fragt:
Grundsätzlich braucht eine PBX und auch eine 3CX gar keine eingehenden / von WAN weitergeleiteten Ports um zu funktionieren. Auch keinen weitergeleiteten SIP Port - sofern der SIP Trunk Authentifizierung benötigt und sich so die 3CX immer wieder beim Provider wg. Rereg meldet (das übliche Szenario) oder wenn der SIP Trunk der 3CX sich gar nicht außerhalb (des LAN / der sonst. int. Netzwerke) befindet. Nur einige IP basierende Anschlüsse ohne Authentifizierung brauchen eingehend SIP vom Provider weitergeleitet. Wenn HTTPS und der Tunnel Port und RTP und WebRTC nicht zur 3CX weitergeleitet wird, dann funktioniert eben nichts außerhalb. Ja dann ist das halt so.
Hinweis am Rande: Wenn während der 3CX Zertifizierung so eine Frage kommt und diese Antwort gegeben wird, dann wird die mit falsch bewertet. Seitens 3CX werden eingehende Freigaben erwartet, das steht so in allen Anleitungen. Nötig ist es nicht.

Ausgehend ist das ganz anders. Da braucht eine 3CX seit jeher für verschiedene Zwecke ab und an eine Verbindung:

• Aktivierung, Reaktivierung (zu 3CX per HTTPS: TCP 443)
• DNS (zu UDP / TCP 53)
• NTP (zu TCP / UDP 123)
• Updates (grds. nur zu 3CX per HTTP: TCP 80)
• ggf. STUN Auflösung (zu 3CX u.a.: UDP 3478),
• ext. E-Mail (zu 3CX: TCP 2528)
• Zertifikaterneuerung (zu 3CX per HTTPS: 443 TCP soweit ich aktuell weiss)
• Push (zu Apple TCP 2195 und 2196, zu Google TCP 5228-5230)
• ggf. weitere eigene Anbindungen

und eben die Verbindung zum Provider für SIP (wird verhandelt / einstellbar, oft UDP/TCP 5060), SIPS (wird verhandelt/einstellbar, oft TCP 5061), RTP/SRTP (wird verhandelt/einstellbar) und evtl. vorh. Bridges (wieder SIP / SIPS oder gar 3CX Tunnel Port TCP / UDP 5090 wenn angegeben). Die Themen MCU, WebRTC usw. lasse ich mal außen vor, der TO hat wohl keinen Bedarf, die Liste wird sonst viel länger. Da kommt über die Jahre auch immer mal was dazu.

Bis auf die zwangsweise notwendige Aktivierungsanfrage der 3CX beim Hersteller alle xx Tage kann man auch das alles komplett selber eingrenzen: eigener DNS, eigener NTP, eigener SBC vor der 3CX (oder eben Registrierung), eigener selbstverwalteter FQDN, eigener E-Mail Server, gar eigene MCU usw.. Dann funktioniert eben kein Push zum Smartphone, Webclient, ext. 'irgendwie' Teilnehmer, Router Phone, ext. 3CX SBC usw.. Aber man kann immer noch wunderbar intern telefonieren und im Haus ganz viele sonstige Dienste nutzen.

Zurück zur Frage des TO:

Geht das mit der V 20 auch noch?

Klares: ja.
Die Bedingungen dazu habe ich beschrieben:

• eingehend grds. nichts (s.o.)
• ausgehend sehr wenig und sehr selektiv - beim Upgrade evtl. kurzzeitig ein klein wenig mehr

Für den TO ist vmtl. wie immer wesentlich, dass er intern einen vernünftigen DNS und Zeitserver hat und Split DNS funktioniert.

 

[NOObert]

Danke bastler für die ausführliche Antwort.
Wenn dir nicht besser ist, da gibts auch was von ratiopharm .
Mit den obigen Informationen habe ich herausgelesen das der Stefan schnelle Hilfe benötigt und die Ports zur Kommunikation offensichtlich nicht offen sind. Damit ist es für mich die passendste Variante gewesen die 3cx Ports zu zitieren. Oder sollte ich ihm abweichend von der offiziellen Anleitung etwas erstellen? Dafür waren doch die Infos oben garnicht geeignet und müssen natürlich auf die vorhandene Anlage/Firewall angepasst werden.
Wenn man ausgehend auch alles dicht macht gibt es eben eine Menge mehr die man beachten muss. Da bin ich mit deiner Liste völlig konform. Bei solch einer restriktiven Einstellung müsste man aber schon früher auf Probleme gestoßen sein wenn da komplett alles dicht wäre und was nicht funktioniert. Mail, NTP z.B. ....
Ich erkenne gern an das ich bei weitem nicht alles weiß und freue mich das du hier helfend dazukommst. VG!