Настройки безопасности 3cx (Публикация портов)

[akronix]

Добрый день. Подскажите по корректной настройке безопасности доступа из вне на АТС 3сх.
1. Какие порты и куда должны смотреть из сервера 3сх наружу ? обязательно ли на все интернет адреса ? или достаточно до voip провайдера?
2. какие порты и откуда должны смотреть из интернета от voip провайдера на сервер 3cx? какие порты обязательно для всех (источник интернет получатель сервер 3сх ) ? (в примере настройке популярных межсетевых экранов от 3сх приводится что пробросить порты с любого внешнего адреса на сервер 3сх, думаю что это не совсем так должно быть)
3. Используется в удаленном офисе SBC, также есть клиенты софт фоны. достаточно ли порта 5090 (не менял дефолтный) для подключения из вне .

 

[igorsnezhko]

1. Порты 5060 UDP - только на IP-адреса VOIP-провайдеров (если у вас нет подключенных напрямую IP-телефонов).
2. Порты 5090 UDP и TCP - туннель 3cx - на все адреса
3. Порты 5001 (HTTPS) TCP на все адреса
4. 9000-10999 UDP - на всесь мир - RTP порты для аудио и видео.

VoIP-оператор работает обычно на порту 5060 и каким-то RTP портам. Обычно он вам об этом сообщает в техническом приложении к договору.

SBC и софтфоны 3CX вместе использовать не нужно. В каждом софтфоне 3CX уже встроен мини-туннель. Софтфон подключается к серверу 3CX на порт 5090 TCP и UDP порту 5001 HTTPS для передачи дополнительных сервисов (CRM, история вызовов и т.п.)

SBC используется для упрощенного подключения обычных аппаартных IP-телефонов к удаленному серверу 3CX. Он "заворачивает" всесь трафик SIP и UDP в шифрованный защищенный туннель (мини-VPN) и работает с облаком 3CX.

 

[akronix]

Получается достаточно так?
ОТ Кого |Куда |Протокол|Порт |Действие |Направление Комментарий
VOIP Prov внешний адрес 3cx UDP 5060 Разрешить Перенаправление на внутренний адрес 3cx SIP
3cx Voip Prov UDP 5060 Разрешить NAT (внешний адрес 3cx)
Весь мир внешний адрес 3cx TCP/UDP 5090 Разрешить Перенаправление на внутренний адрес 3cx 3CX Tunnel
Весь мир внешний адрес 3cx UDP 9000-10999 Разрешить Перенаправление на внутренний адрес 3cx RTP
Весь мир внешний адрес 3cx TCP 5001 Разрешить Перенаправление на внутренний адрес 3cx HTTPs

 

[igorsnezhko]

3cx Voip Prov UDP 5060 Разрешить NAT (внешний адрес 3cx) - не совсем пойму, зачем это. Подразумевается, что на исход из вашей сети (и от сервера 3CX) все порты открыты и работают через NAT. Вы говорим только про публикацию портов (сервисов) 3CX на вашем публичном IP. Исходящий трафик - это совсем другое дело...

 

[akronix]

ну первый вопрос был как раз какие смотрят наружу с сервера 3сх, обязательно ли все или можно настроить индвивидуально.

 

[igorsnezhko]

Порты я привел, единственный порт, который не стоит публиковать для всего мира - 5060 UDP (SIP).