Windows Desktop App extern ohne Audio

[FirstSteps@3cx]

Hallo zusammen,
wir nutzen zu unserer 3CX V18.0 Update 5, die hier im Hause auf Windows Server 2022 installiert ist, intern im LAN die Windwos Desktop App V18n oder halt eben die iOS APP über WLAN. Beides funktioniert prächtig.
Extern funktionieren auch die iOS-Geräte einwandfrei.
Nun musste aber ein Mitarbeiter ins HomeOffice und konnte ihre Windows Desktop nicht nutzen, da zwar Anrufe signalisiert werden, das Gespräch auch gehalten wird, aber Audio in beide Richtungen nicht geht. Dies wurde über VPN und ohne VPN getestet, beides nicht nutzbar. Im gleichen WLAN daheim aber funktioniert das genutzte iOS-Gerät einwandfrei.
Nun gehen mir die Ideen aus, wo man noch schauen könnte. In der Firewall sehe ich keine geblockten Pakete von der externen IP, die genutzt wird.
Vielen Dank für Hinweise

 

[fxbastler]

Hallo,

läuft denn der 3CX Firewall Test komplett grün durch?

 

[FirstSteps@3cx]

Leider nein, aber das habe ich bislang auch aus bestimmtem Grund - den ich gleich erläutern möchte - nicht weiter betrachtet.

Die 3CX läuft als Unteranlage hinter einer UNIFY. Es gibt von der 3CX keine SIP-Trunks zu einem Provider sondern nur zu der UNIFY-Anlage, die im gleichen Netz steht. Dazwischen gibt es auch keine Firewall. Die Clients arbeiten mit VPN, wenn Sie auf das LAN zugreifen müssen, aber dort gibt es keine Beschränkungen oder eben ohne VPN, dann aber habe ich sie als vergleichbar zu einem Smartphone eingestuft. Diese laufen ja sauber.

Habe ich da einen Denkfehler?

 

[fxbastler]

Habe ich da einen Denkfehler?

Ich denke ja. Es macht aus meiner Sicht und deiner Beschreibung auch keinen Sinn, die 3CX nicht wie gefordert an das Internet anzubinden. Das hat mit dem SIP Trunk zur Unify erst einmal wenig zu tun.

Richte doch die Firewall und die 3CX einfach so ein, dass der Firewall Test funktioniert und schau nach, ob dann auch der Windows Desktop Client Audio anbietet. Das kann auch ein DNS (bzw. Split DNS) Problem sein. Da gibt es mehrere Möglichkeiten.

 

[FirstSteps@3cx]

Ich denke ja. Es macht aus meiner Sicht und deiner Beschreibung auch keinen Sinn, die 3CX nicht wie gefordert an das Internet anzubinden. Das hat mit dem SIP Trunk zur Unify erst einmal wenig zu tun.

Ich denke nein, denn es gibt keine SIP-Trunks die nicht von der UNIFY kommen, demnach gehe ich davon aus, dass die 3CX kommunikationsverkehr per Telefon ausschließlich mit der UNIFY macht. Ich bin über diese Konstellation nicht glücklich. Besser wäre der Vorschlag, die Anlage direkt und OHNE UNIFY zu nutzen. Aber die Mühlen mahlen langsam und ich habe leider noch mindestens 6 Monate diesen Hybridmodus.
Außerdem sehe ich nur dann in der Firewall geblockte Pakete, wenn ich den Firewallcheck der 3CX laufen lasse, nicht aber im Normalbetrieb. Auch das spricht dafür, dass nichts relevantes geblockt wird.

 

[fxbastler]

Ja, die Leute lesen nicht was ich schreibe. Die testen auch nicht, die glauben, die wollen nicht wissen. Auch wenn alles in den Anleitungen des Herstellers steht, bei den kostenlosen Seminaren besprochen wird und auch im Forum steht.

Ich hatte doch geschrieben, dass (zumindest ein Teil) der Portweiterleitungen sicher erforderlich sind, um externe Webclients nutzen zu können und dass das nichts mit dem intern angebundenen) SIP Trunk der 3CX zu tun hat. Für den Rest einer Beschränkung weiss ich einfach zu wenig von dem verwendeten Konstrukt mit VPN, DNS, Regeln und 3CX Einrichtung. Das darfst du selber anpassen.

Konkret:

1. wenn getestet werden soll, warum etwas nicht funktioniert, dann wird das in so einem Fall nur mit Analyse von Netzwerk Mitschnitten (auf mind. zwei Geräten aus einer Auswahl von: auf dem Client, dessen VPN Router, dem zentralen VPN Router, der 3CX) sichtbar, Wireshark ist dein Freund
2. der 3CX Firewall Check testet nicht alles (siehe hier, Seite 16, Vortragnotizen: nur UDP usw.), das wird in den 3CX Seminaren immer wieder explizit angesprochen
3. der Vergleich des Traffic bzw. der verworfenen Pakete zw. einem Firewall Test und einem nicht funktionierenden Anwendungsszenario ist nicht zielführend, s.o., siehe Punkt 2
4. der Webclient benötigt eine Verbindung zur 3CX über den 3CX HTTPS Port und die RTP Ports (siehe hier, Seite 12, insbes. die Vortragsnotizen) - auch abhängig von der VPN Verbindungsart, deren Einrichtung, dem eingerichteten NAT (Source NAT explizit deaktivieren), der in der 3CX eingerichteten Provisionierungsart, den dabei genutzten Geräten, der DNS Einrichtung aller verwendeten und dazwischenliegenden Geräte; das wird in den 3CX Seminaren immer wieder explizit angesprochen
5. als Zusatz zu 4: wenn ein VPN Tunnel ohne NAT benutzt wird (OpenVPN TAP z.B.), das Netz der 3CX direkt 1:1 zum Webclient durchgereicht wird, kein Proxy dazwischen steht, DNS auf beiden Seiten für diesen Zweck angepasst konfiguriert ist und der gesamte Traffic des VPN Clients in das Netz der 3CX weitergeleitet wird, dann wird das gewünschte Szenario vermutlich funktionieren, die Chance ist hoch, es gibt aber auch da noch Stolpersteine
6. wir haben solche Szenarien (SIP Trunk einer Anlage im Haus, Abkapselung der 3CX) schon oft genug selber umgesetzt, praktisch im Einsatz und anderen bei derartigen Problemen geholfen diese zu lösen; gehe bitte erstmal davon aus, dass ich weiss wie es funktionieren kann (einige ganz wenige erfolgreiche Szenarien) und was auf jeden Fall nicht funktionieren wird (der ganze Rest)

Mach doch bitte einmal was ich in meinem obigen Post geschrieben habe, wenigstens den HTTPS und die RTP Ports müssen direkt ankommen. Die Verwendung eines Proxy (die meisten zumindest) und insbes. Offloading wird i.d.R. auch dazu führen, dass es nicht funktioniert.

Das mit dem Öffnen und einem erfolgreichen Firewall Test der 3CX hat schon seinen Grund. Partiell abschalten / einschränken kannst du ja hinterher immer noch wenn dir etwas nicht gefällt und das für den angedachten Betrieb wirklich nicht benötigt wird oder gewollt ist.

 

[fxbastler]

Dieses Thema u.v.a.m. wird in den qualifizierten kostenlosen Seminaren des Herstellers, die ab kommende Woche wieder stattfinden, angesprochen - Livechat für Nachfragen inklusive. Einfach bei allen 9 Kursen einschreiben und teilnehmen. Besser geht es nun wirklich nicht.

 

[FirstSteps@3cx]

Hallo fxbastler,

vielen Dank für die fundierten Hinweise, die – ACHTUNG SPOILER – zur Lösung geführt haben.

Für die, die ein ähnliches Problem haben:

M.E. gibt es zwei Kommunikationswege bei uns.
1. die 3CX mit den SIP-Trunks zur vorgelagerten konventionellen Telefonanlage
2. die Clients (Windows-Desktop-App / iOS) mit der 3CX und das von intern über LAN / WAN bzw. von extern

Naiv bin ich davon ausgegangen, dass die Kommunikationsprotokolle für Windows-Desktop-Apps identisch zu den Protokollen der Smartphone-Apps sind. Daher war es für mich auch nicht ersichtlich, warum die Windows-Maschinen extern kein Audio haben obwohl iOS-Geräte externe einwandfrei laufen.

Mit dem Hinweis in Punkt 4 von fxbastler (speziell zu den RTP-Ports) konnte eine zusätzliche Regel in der Hardwarefirewall freigeschaltet werden und prompt laufen auch die Windows-Rechner mit der 3CX inkl. Audio.

Dies hat aber nichts mit „Die testen auch nicht, die glauben, die wollen nicht wissen“ zu tun sondern eher damit, dass man nicht stumpf Tests machen möchte sondern verstehen möchte, warum eine Sache funktioniert oder halt eben nicht funktioniert.

Wie auch immer, die Hinweise waren für mich zielführend und die Nennung der kostenlosen Seminare ist sicherlich auch Gold wert. Dazu habe ich mich direkt angemeldet und hoffe, damit noch viele weitere interessante Aspekte der Anlage kennen zu lernen.

Vielen Dank also speziell an fxbastler aber auch an alle anderen.