Configurazione del Firewall & Router

Introduzione

Se il 3CX è installato on-premise, è necessario apportare modifiche alla configurazione del firewall per consentire al 3CX di comunicare con successo con i trunk e le app SIP. Questa guida fornisce una panoramica generale delle porte che devono essere aperte/inoltrate staticamente sul firewall.

Se si dispone di telefoni IP remoti, è necessario posizionare un telefono SBC o un router davanti ad essi. In alternativa, consigliamo di utilizzare le nostre applicazioni che dispongono di un tunnel integrato. Ulteriori informazioni sull'SBC sono disponibili qui.

Porte necessarie per il tuo SIP Trunk/Provider VoIP

Configurazione delle porte per il SIP Trunk/VoIP Provider

Aprire queste porte per consentire al 3CX di comunicare con il provider VoIP/fornitore VoIP e WebRTC:

  • Porta 5060 (in entrata, UDP) e 5060-5061 (in entrata, TCP) per le comunicazioni SIP.
  • Porta 9000-10999 (in entrata, UDP) per le comunicazioni RTP (audio), cioè la chiamata vera e propria. Ogni chiamata richiede 2 porte RTP, una per controllare la chiamata e una per i dati della chiamata, quindi il numero di porte da aprire è doppio rispetto al numero di chiamate simultanee.

Porte necessarie per le app 3CX e l'SBC in remoto

Per consentire agli utenti di usare le loro app 3CX da remoto, su Android, iOS o Windows, è necessario assicurarsi che queste porte siano aperte:

  • Porta 5090 (in entrata, UDP e TCP) per il tunnel 3CX.
  • Porta 443 o 5001 (in entrata, TCP) HTTPS per Presenza e Provisioning, o la porta HTTPS personalizzata specificata.
  • Porta 443 (in uscita, TCP) per Google Android Push.
  • Porta 443, 2197 e 5223 (in uscita, TCP) per Apple iOS Push. Ulteriori informazioni qui.

Configuring the ports for remote 3CX clients

I messaggi PUSH sono inviati dal sistema 3CX alle estensioni che usano gli smartphone per svegliare i dispositivi per le chiamate. Questo migliora notevolmente l'usabilità delle app per smartphone.

Porte necessarie per la videoconferenza 3CX

Per creare e partecipare a riunioni basate sul web, il servizio cloud ospitato da 3CX deve essere in grado di comunicare con il PBX 3CX e viceversa. A tal fine, è necessario configurare le seguenti porte:

Configura le porte necessarie per la videoconferenza

  • La porta 443 (in entrata, TCP) deve essere consentita ai partecipanti per connettersi al sistema 3CX.
  • Sistema 3CX: La porta 443 (in uscita, TCP) deve essere consentita per connettersi all'infrastruttura cloud di 3CX.
  • Utenti: Le porte 443 (in uscita, TCP) e 48000-65535 (in uscita, UDP) devono essere autorizzate a scambiare audio e video con altri partecipanti.

Lista bianca degli indirizzi IP per il servizio di trascrizione 3CX (Cloud)

Le impostazioni del firewall devono consentire il traffico in entrata (TCP) relativo alla trascrizione proveniente dalla sorgente wmr-in.3cx.net (indirizzo IP 34.40.92.110) verso la porta 443 (o qualsiasi altra porta alternativa utilizzata per HTTPS).

Porte richieste per altri servizi

Un sistema 3CX si connette a vari servizi forniti da 3CX nel cloud.

  • Servizio SMTP: Servizio cloud per i messaggi SMTP

        smtp-proxy.3cx.net, 443 (in uscita, TCP)

  • Servizio di attivazione: Attivazione dei prodotti 3CX

        activate.3cx.com, 443 (in uscita, TCP, traffico non ispezionato)

  • Servizio di rilevamento: Scoprire il proprio IP pubblico

discoverv4.3cx.com, 443 (in uscita, TCP, traffico non ispezionato)  

  • Servizio RPS: Provisioning di telefoni IP remoti

        rps.3cx.com, 443 (in uscita, TCP)

  • Server di aggiornamento: Per gli aggiornamenti del sistema 3CX e del firmware dei telefoni IP

        Downloads-global.3cx.com, 443 (in uscita, TCP)

  • Servizio WebMeeting e trascrizione
            wmr.3cx.net, 443 (outbound & inbound, TCP)
  • Servizio Push (Android e iOS)
            pbxservicespush.3cx.com, 443 (in uscita, TCP, traffico non ispezionato)

Configurare Split DNS/Hairpin NAT

È necessario configurare l'FQDN del 3CX in modo che funzioni sia internamente alla rete locale che esternamente alla rete (a meno che non si voglia dare accesso al sistema telefonico dall'esterno della rete). Leggere qui come configurare lo split DNS.

Disattivare SIP ALG

Utilizza un router/firewall senza SIP Helper o SIP ALG (Application Layer Gateway), oppure un dispositivo su cui il SIP ALG può essere disabilitato.

Eseguire il Firewall Checker

Dopo aver configurato il firewall, esegui il 3CX Firewall Checker per verificare la configurazione!

ACL/Firewall

Ogni ambiente di installazione on-premise è diverso, quindi è responsabilità dell'utente definire le regole ACL/firewall appropriate che non consentano all'host 3CX di raggiungere sottoreti/endpoint sensibili all'interno della rete. Questo deve essere gestito a livello di rete nei gateway e nei firewall e in prima linea nel 3CX, per evitare che la nostra infrastruttura venga modificata in caso di compromissione.

Istruzioni passo passo per i firewall più diffusi

Esempi di configurazione per i firewall più diffusi:

Per saperne di più

Ultimo aggiornamento
Questo documento è stato aggiornato il 8 maggio 2026.
https://www.3cx.it/doc/manuale/configurazione-router-firewall/