Konfiguracja zapory pfSense z 3CX

Wprowadzenie

Ten dokument opisuje konfigurację zapory pfSense w wersji 2.5.2+ do współpracy z systemem 3CX. Przewodnik został napisany dla administratorów centrali PBX w sieciach z pojedynczym publicznym adresem IP WAN lub używających głównego adresu IP WAN dla systemu 3CX. W naszym przykładzie zakładamy, że serwer 3CX posiada wewnętrzny adres IP 192.168.3.155, a zapora pfSense nasłuchuje pod adresem 192.168.3.1. Na zrzutach ekranu w przykładzie Split Brain DNS użyto również publicznego adresu IP 1.2.3.4 oraz domeny FQDN service.tigunia.com.

Krok 1: Konfiguracja przekierowania portów (NAT)

Edytuj wpis NAT w zaporze pfSense

Zaloguj się do konsoli zarządzania przez WWW zapory pfSense.

  1. Przejdź do: „Firewall” (Zapora sieciowa) > „NAT”.
  2. Użyj przycisku „Add” (Dodaj) po prawej stronie, aby dodać nową regułę.
  3. Utwórz reguły NAT dla wszystkich wymaganych portów, które muszą zostać przekierowane na podstawie listy portów.
  1. „Protocol” (Protokół): Ustaw typ protokołu w zależności od przekierowywanych portów.
  2. „Destination port range” (Zakres portów docelowych): Wybierz port lub zakres portów dla wpisu NAT. Jeśli port nie jest wstępnie zdefiniowany (tak jak w przypadku protokołu SIP), wprowadź niestandardowe numery portów.
  3. „Redirect target IP” (Docelowy adres IP przekierowania): Wprowadź wewnętrzny adres IP systemu 3CX Phone System.
  4. „Redirect target port” (Docelowy port przekierowania): Wprowadź port wewnętrzny, najczęściej taki sam jak port zewnętrzny.
  5. „Description” (Opis): Nazwij regułę w celu jej łatwiejszej identyfikacji.
  6. „NAT reflection” (Odbicie NAT): Użyj domyślnej wartości systemowej.
  7. „Filter rule association” (Powiązanie reguły filtra): Wybierz opcję dodania powiązanej reguły filtra („Add associated filter rule”).
  8. Kliknij przycisk „Save” (Zapisz), a następnie „Apply” (Zastosuj), aby aktywować konfigurację.
  1. Powtórz krok 3 dla każdego przekierowywanego portu.
  2. Po dodaniu wszystkich reguł przekierowania portów powinny one wyglądać podobnie do zestawienia przygotowanego dla danego środowiska.

Przekierowane porty w zaporze pfSense

Krok 2: Zachowanie portów (Full Cone NAT / Port Preservation)

Full Cone NAT w zaporze pfSense

  1. Przejdź do: „Firewall” (Zapora sieciowa) > „NAT” > „Outbound” (Ruch wychodzący).
  2. Zmień typ z automatycznego na „Hybrid” (Hybrydowy) i naciśnij przycisk „Save” (Zapisz).

Edytowanie zaawansowanego wpisu NAT wychodzącego w zaporze pfSense

  1. Utwórz nową regułę mapowania („Mapping Rule”), ustawiając:
  1. „Source” (Źródło): Adres IP hosta 3CX w sieci LAN, np. 192.168.3.155.
  2. „Port or Range” (Port lub zakres): Zaznacz pole wyboru „Static Port” (Port statyczny).
  1. Przesuń regułę na pierwszą pozycję w tabeli mapowania NAT („Mappings NAT table”), aby zapewnić jej prawidłowe działanie.
  2. Upewnij się, że opcje zostały zapisane i zastosowane zarówno na stronie „Port Forward” (Przekierowanie portów), jak i „Outbound” (Ruch wychodzący).

Krok 3: Zarządzanie domenami FQDN

W kolejnym kroku musisz wybrać sposób zarządzania domeną FQDN systemu 3CX wewnątrz swojej sieci. Dostępne są 2 opcje: Split Brain DNS oraz Hairpin NAT. Mechanizm Split Brain DNS ma tę zaletę, że utrzymuje ruch sieciowy 3CX wewnątrz sieci lokalnej i nie przesyła go przez interfejs WAN, ale wymaga bardziej złożonej konfiguracji. Mechanizm Hairpin NAT jest łatwiejszy w konfiguracji, lecz zużywa więcej ruchu na interfejsie WAN i w niektórych sytuacjach może prowadzić do gorszej jakości połączeń. Zalecamy stosowanie mechanizmu Split Brain DNS, gdy tylko jest to możliwe.

Opcja 1: Konfiguracja mechanizmu Split Brain DNS

  1. Przejdź do: „Services” (Usługi) > „DNS Resolver”.
    „Services” > „DNS Resolver”
  2. W zakładce „General Settings” (Ustawienia ogólne) upewnij się, że usługa DNS Resolver jest włączona.
    Włączono moduł DNS Resolver
  3. Upewnij się, że w sekcji „Network Interfaces” (Interfejsy sieciowe) wybrano opcję All (Wszystkie) lub konkretne interfejsy, na których DNS Resolver ma nasłuchiwać (zazwyczaj jest to sieć LAN).
    W sekcji „Network Interfaces” zaznaczono opcję „All”
  4. Upewnij się, że opcja „DNS Query Forwarding” (Przekazywanie zapytania DNS) jest włączona.
  5. Na dole strony, w sekcji „Host Overrides” (Nadpisania hostów), kliknij przycisk „Add” (Dodaj).
    Sekcja „Host Overrides” > „Add”
  6. Dodaj hosta, domenę i adres IP zgodnie z wymaganiami, a następnie kliknij przycisk „Save” (Zapisz).
    Host: Pierwsza część nazwy FQDN systemu 3CX.
    Domain (Domena): Ostatnia część nazwy FQDN systemu 3CX.
    IP Address (Adres IP): Wewnętrzny adres IP systemu 3CX Phone System.

    Opcje nadpisywania hosta
  7. Upewnij się, że Twoje urządzenia używają zapory pfSense do rozwiązywania nazw DNS (lub używają urządzenia, które przekazuje nieznane zapytania do pfSense). Ta konfiguracja jest zazwyczaj obsługiwana przez serwer DHCP oraz przekazywane przez niego serwery DNS.

Opcja 2: Konfiguracja mechanizmu Hairpin NAT

  1. Przejdź do: „System” > „Advanced” (Zaawansowane).
  2. Zmień opcję „NAT Reflection mode for port forwards” (Tryb NAT Reflection dla przekierowań portów) na „Pure NAT”.
  3. Zaznacz pole wyboru „Enable NAT Reflection for 1:1 NAT” (Włącz NAT Reflection dla 1:1 NAT).
  4. Zaznacz pole wyboru „Enable automatic outbound NAT for Reflection” (Włącz automatyczny wychodzący NAT dla Reflection).
    Network Address Translation

Krok 4: Weryfikacja konfiguracji

Aby zweryfikować konfigurację NAT / przekierowania portów, przejdź do: „Admin” > „Dashboard” (Pulpit) > „Firewall” (Zapora sieciowa) w Konsoli Administracyjnej 3CX, aby uruchomić narzędzie 3CX Firewall Checker i sprawdzić, czy zapora sieciowa jest prawidłowo skonfigurowana do pracy z 3CX. Więcej informacji na temat narzędzia Firewall Checker można znaleźć tutaj.

Aby zweryfikować konfigurację Split Brain DNS, możesz użyć narzędzia nslookup (wewnątrz sieci / za zaporą pfSense), aby sprawdzić, jak rozwiązywany jest DNS. Po prostu wpisz „nslookup <fqdn> <dns-server>”, gdzie <fqdn> to nazwa FQDN Twojego 3CX, a <dns-server> to adres IP serwera DNS, do którego chcesz skierować zapytanie. Podczas odpytywania zewnętrznego serwera DNS w odpowiedzi powinien zostać zwrócony Twój adres IP WAN, a podczas odpytywania wewnętrznego serwera DNS Resolver w pfSense powinien zostać zwrócony wewnętrzny adres IP systemu 3CX Phone System.

  1. Poniższy przykład pokazuje sprawdzanie zewnętrznego rozwiązywania adresu IP dla domeny FQDN „service.tigunia.com” na publicznych serwerach DNS Google (8.8.8.8):
    Sprawdzanie rozpoznania zewnętrznego adresu IP na podstawie nazwy FQDN
  2. Poniższy przykład pokazuje sprawdzanie wewnętrznego rozwiązywania adresu IP dla domeny FQDN „service.tigunia.com” na Twoim wewnętrznym serwerze pfSense Resolver (192.168.3.1):
    Sprawdzanie rozpoznawania wewnętrznego adresu IP na podstawie nazwy FQDN

Aby zweryfikować konfigurację Hairpin NAT, spróbuj uzyskać dostęp do domeny FQDN 3CX z komputera wewnątrz sieci za pomocą nazwy FQDN. Jeśli jesteś w stanie załadować klienta sieciowego (webclient), funkcja NAT Hairpinning powinna działać.

W niektórych przypadkach ponowne uruchomienie zapory sieciowej może być konieczne, aby zmiany weszły w życie.

Jeśli Twoje telefony zdalne lub dostawca VoIP działają w przeważającej mierze, ale losowo się rozłączają, rozważ zmianę tej opcji.

  1. Przejdź do: „System” > „Advanced” (Zaawansowane).
  2. Ustaw opcję „Firewall Optimization Options” (Opcje optymalizacji zapory) na „Conservative” (Konserwatywne).
  3. Kliknij przycisk „Save” (Zapisz).

Specjalne podziękowania dla Partnera 3CX Titanium, Managed IT & Document Technologies of Arizona oraz Brentta Graeba za sekcje dotyczące NAT/przekierowania portów oraz zachowania portów w tym przewodniku. Specjalne podziękowania dla Partnera 3CX Gold, Tigunia, oraz Martina Twerskiego za sekcje dotyczące Split Brain DNS oraz Hairpin NAT w tym przewodniku.

Zobacz również



Ostatnia aktualizacja
Ten dokument został ostatnio zaktualizowany 10 września 2026 r.
https://www.3cx.pl/docs/zapora-pfsense/