Configuración de Router y Cortafuegos

Introducción

Si se tiene 3CX instalado on-premise, se necesita hacer cambios a la configuración del firewall para permitir a 3CX comunicarse exitosamente con sus troncales SIP y aplicaciones. Esta guía le da una visión general de los puertos que necesitan ser abiertos / reenviados estáticamente en su firewall.

Si cuenta con teléfonos IP remotos, necesitará colocar un SBC o un Teléfono Router enfrente de ellos. Alternativamente le recomendamos utilizar las aplicaciones que tienen un túnel incorporado. Puede encontrar más información sobre el SBC aquí.

Puertos Requeridos para su Proveedor VoIP / Troncal SIP

Abra los siguientes puertos para permitir que su 3CX se comunique con el Proveedor VoIP / Troncal SIP y WebRTC:

• Puerto 5060 (entrante, UDP) y 5060-5061 (entrante, TCP) para comunicaciones SIP.
• Puerto 9000-10999 (entrante, UDP) para comunicaciones RTP (Audio), por ejemplo: la llamada actual. Cada llamada necesita 2 puertos RTP, uno para controlar la llamada y el otro para los datos de la llamada, por lo tanto, el número de puertos que debe abrir es el doble del número de llamadas simultáneas.

Puertos Requeridos para las Aplicaciones 3CX Remotas y SBC

Para permitir que los usuarios remotos utilicen las aplicaciones 3CX, en Android, iOS o Windows, necesita asegurarse de abrir estos puertos:

• Puerto 5090 (entrante, UDP y TCP) para el túnel 3CX.
• Puerto 443 o 5001 (entrante, TCP) HTTPS para Presencia y Aprovisionamiento, o el puerto HTTPS personalizado que haya especificado.
• Puerto 443 (saliente, TCP) para Google Android Push.
• Puertos 443, 2197 y 5223 (saliente, TCP) para Apple iOS Push. Para más información haga clic aquí.

Los mensajes PUSH son enviados por el sistema 3CX a extensiones usando smartphones para despertar los dispositivos para llamadas. Esto mejora enormemente la usabilidad de las aplicaciones de smartphones.

Puertos Requeridos para la Videoconferencia 3CX

Para crear y participar en reuniones web, el servicio hospedado en la nube de 3CX debe poder comunicarse con el PBX 3CX y viceversa. Para llevarlo a cabo, estos puertos necesitan ser configurados:

• Puerto 443 (entrante, TCP) debe estar permitido para que los participantes puedan conectarse con su Sistema 3CX.
• Sistema 3CX: Puerto 443 (saliente, TCP) debe estar permitido para conectar con la infraestructura en la nube 3CX.
• Usuarios: Puerto 443 (saliente, TCP) y 48000-65535 (saliente, UDP) deben estar habilitados para intercambiar audio y video con otros participantes.

Lista Blanca de Direcciones IP para el Servicio de Transcripción de 3CX (Nube)

La configuración de su cortafuegos debe permitir el tráfico entrante (TCP) de transcripción desde la dirección IP de origen 34.40.92.110 al puerto 443 (o cualquier otro puerto alternativo que esté utilizando para HTTPS).

Puertos Requeridos para Otros Servicios

El Sistema 3CX se conecta con varios servicios proporcionados por su 3CX en la nube.

• Servicio SMTP: El Servicio en la Nube para Mensajes SMTP.

mailproxy.3cx.com, 443 (saliente, TCP)

• Servicio de Activación: Activación de Productos 3CX.

                activate.3cx.com, 443 (saliente, TCP, tráfico no inspeccionado)

• Servicio de Descubrimiento: Descubrir su IP pública

discoverv4.3cx.com, 443 (saliente, TCP, tráfico no inspeccionado)

• Servicio RPS: Aprovisionar Teléfonos IP remotos.

                rps.3cx.com, 443 (saliente, TCP)

• Servidor de Actualización: Para actualizaciones del Sistema 3CX y firmware de Teléfonos IP

                Downloads-global.3cx.com, 443 (saliente, TCP)

• Servicio de WebMeeting y Transcripción

                wmr.3cx.net, 443 (saliente y entrante, TCP)

• Servicio de Push (iOS y Android)

pbxservicepush.3cx.com, 443 (saliente, TCP, tráfico no inspeccionado)

Configurar DNS dividido / NAT con Horquilla (‘Hairpin’)

Se necesitará configurar el FQDN 3CX para trabajar tanto internamente en su red local, como externamente fuera de su red (a menos que no se quiera dar acceso a su sistema telefónico desde fuera de la red). Lea cómo configurar DNS dividido aquí.

Deshabilite SIP ALG

Utilice un router / cortafuegos sin Ayudante SIP o SIP ALG (Application Layer Gateway), o un dispositivo en el cual se pueda deshabilitar el SIP ALG.

Ejecute la Prueba del Cortafuegos

¡Una vez configurado el cortafuegos, ejecute la Prueba de Firewall 3CX para validar su configuración!

ACL / Cortafuegos

Cada ambiente de instalación local es diferente, por lo tanto, es su responsabilidad definir las reglas ACL / Cortafuegos apropiadas que no permitirán al host 3CX alcanzar subredes sensibles / puntos finales dentro de su red. Esto debe ser manejado en la capa de red en Gateways y Cortafuegos y en el frente de 3CX, para prevenir pivotar nuestra infraestructura en el caso de un ataque.

Instrucciones paso a paso para Cortafuegos Populares

Ejemplos de configuraciones para cortafuegos populares:

• Configuración de un Cortafuegos Sonicwall para 3CX.
• Configuración de un Draytek 2820 Router para 3CX con configuración QoS.
• Configuración de AVM FritzBox como un cortafuegos con 3CX.
• Configuración de un Router de Cisco para permitir la conexión a un proveedor de VoIP.
• Configuración de FortiGate 40F para 3CX.
• Configuración de un Cortafuegos WatchGuard XTM para 3CX.
• Configuración de un Cortafuegos pfSense para 3CX.
• Configuración de un Cortafuegos Mikrotik.
• Instalando un 3CX SBC.
• Verificador de Cortafuegos 3CX.

Ver También

• Aprenda más sobre Routers, NAT y VoIP.
• Qué puertos abrir si tiene problemas con PUSH - Guía de solución de problemas de PUSH.

Última Actualización

Este documento se actualizó por última vez el 5 de Mayo de 2026

https://www.3cx.es/docs/manual/configuracion-firewall-router/