Нужно открыть для клиентов 3CX ТОЛЬКО 5090 TCP, 5001 TCP. Если у вас есть и SIP операторы, то можно попробовать сперва ничего не открывать. Если операторы работать не будут, то для ТОЛЬКО для IP адреса оператора (а не для всего мира) откройте порты 5060 UDP и 9000-9500 UDP. На админ-консоль поставьте сложный пароль.