Ablösung Hipath 3300 durch Asterisk, Suche nach geeignetem Hersteller für VOIP-Phones

[johannesfelix]

HiYa.

Betreibe seit etwa 15 Jahren eine Hipath 3300 (V5) hinter einer Fritzbox 7490 (via S0) an einem MegantaZuHause DSL mit einigen (etwa 12) Systemtelefonen via Up0 und habe mich entschlossen, die Anlage durch eine Asterisk-Lösung zu ersetzen. Habe die Hipath bisher selbst administriert (Manager E) und im Prinzip alles so hinbekommen, wie ich mir das gewünscht habe. Der Stromverbrauch (Gesamtsystem etwa 250-300W) gab jedoch den Ausschlag zur Ablösung.

Mir schwebt folgender Ziel-Ausbau vor:
4 DECT Handgeräte, eine DECT-Zelle wird reichen, jedoch nicht die Fritzbox, die steht im Serverrack.
4 drahtgebundene VOIP-Phones
8 Softphones (iOS, Android)
Kein Bedarf an analogen oder ISDN-Anbindungen mehr. Die Zeiten sind rum.

Ich könnte das alles auch ohne Anlage direkt an die Fritzbox klemmen, da fehlen mir aber die liebgewonnenen Features einer richtigen Telefonanlage, die ich auch weiterhin nutzen möchte:

- Vermitteln, d.h. Übergabe mit vorherigem Gespräch (transfer) oder eben auch ein blind transfer (ohne vorherige Rücksprache)
- Direktansprache einer Gruppe (Durchsage auf alle Teilnehmer einer Gruppe vor Übergabe eines Gesprächs in die Gruppe)
- eingehendes Gespräch heranholen von einem anderen Telefon der Rufübernahmegruppe
- BLF (Signalisierung: führt ein Gespräch, führt kein Gespräch, Telefon klingelt) - ich brauch keine Präsenzanzeige wie "ist im Büro" oder "abwesend" oder so UC Kram)
- Konferenzen mit bis zu 3 weiteren internen oder 2 internen und einem externen Teilnehmer

So... ich vermute mal, Asterisk kann das alles (bei Diretkansprache bin ich mir nicht sicher), aber ich bin ja eigentlich auf der Suche nach einem geeigneten Hersteller von VOIP-Phones, die mir zusammen mit Asterisk (freie Distri, mag kein Geld dafür ausgeben) diese Features ermöglichen.

Ich hab schon ein wenig rumgesucht und bin irgendwie bei folgenden Herstellern von Telefonen gelandet, die in die Endauswahl rücken:

- Snom
- Grandstream
- Digium
- Yealink

Bei den Telefonapparaten ist mir folgendes Wichtig:

- stabile und langfristige Versorgung mit Firmware-Updates
-> da fehlt mir der Einblick... was ich wohl schon mitbekommen habe ist, dass Grandstream welche bringt, die aber einen Fehler beheben und einen neuen reinbauen. Das kann klappen, da muss die Lieferfrequenz aber extrem hoch sein, um mich nicht zu nerven.
- möglichst kein Android als Unterbau (siehe oben, ich vermute, kein Hersteller wird hier längerfristig vernünftige Updates liefern)
-> deshalb ist Unifi, deren Produkte ich eigentlich mag, schon rausgefallen. Soweit ich erkannt habe, rennt da noch ein Android 4.x auf den Telefonen und das hol ich mir nicht mehr ins Haus.
- möglichst deutsche Lokalisierung, deutsche Menüführung
-> muss wohl bei SNOM gut sein, Grandstream hat wohl deutsche Packages für die GXP Serie, aber nicht für die GRP-Serie (da gefällt mir das GRP2614 recht gut, mit den self-labelling BLF-Keys)
- Für einen Schnur-Apparat: Headsetanschluss mit EHS (kein Bluetooth, kein USB), da kommt ein Plantronics Savi 720 über den normalen Telefon-Port dran.

Ich bin also auf der Suche nach Input, insbesondere was die Versorgung mit Firmware-Updates angeht (Lebenszyklus, Häufigkeit, Qualität) sowie die Unterstützung der oben genannten PBX-Leistungsmerkmale zusammen mit Asterisk.

Hat da jemand Hinweise, wo ich weitersuchen kann?

Gruß
Felix

 

[sonyKatze]

Wenn Du noch mehr Hersteller suchst, gab für Digium Asterisk die Tage mal eine Übersicht … (Präsentation: Folie 8). Niemand kann in die Zukunft schauen. Aus der Vergangenheit irgendwelche Tendenzen für die Zukunft ableiten … wenn Du selbst Administrator spielst, brauchst Du entweder A) ein ausgereiftes System, B) ein gut dokumentiertes System oder C) einen Anbieter bei dem Du Software-Bugs melden kannst. Ersteres sehe ich in VoIP/SIP nach 20 Jahren noch immer nicht. Letzteres kannst Du bei fünf Telefonen vergessen – Du wirst bestenfalls ignoriert, normalerweise angelogen oder im schlimmsten Fall in ein Hamster-Rad von Nachfragen geschoben.

Nach ganz vielen Security-Meldungen habe ich es wenigstens bei Snom geschafft, auch normale Fehler melden zu dürfen. Und die werden tatsächlich auch ab und zu behoben. Leider ist deren DECT-Lösung je nach Modell entweder von RTX oder VTech – Du holst Dir folglich zwei Systeme ins Haus. Bei Yealink, Grandstream und Panasonic hat die DECT-Single-Cell-Basis die gleiche VoIP/SIP-Software wie die Tisch-Telefone – jedenfalls sieht das für mich so aus. Bei Yealink hinkt die manchmal „nur“ zwei Firmware-Generationen hinterher.

Ehrlich? Ich würde die HiPath wieder ausgraben und solange weiter nutzen bis sie ausfällt. Vielleicht ist dann die Situation im Bereich VoIP/SIP besser. Und vielleicht haben sich bis dahin die Hersteller entschieden, ob sie Android oder direkt Linux nehmen. Meine Meinung zu Android in VoIP/SIP-Telefonen findest Du in jenem Thread …

Wenn Du es mit VoIP/SIP noch nicht lassen kannst, würde ich Snom nehmen. Snom hat eine Webseite zu End-of-Life. Du solltest nämlich darauf achten, keine veraltete Plattform bzw. Modelle eines Herstellers zu kaufen. Aber bei so einer kleinen Anzahl an Endgeräten könntest Du auch überlegen, ob nicht Gebrauchtware (und dann [vielleicht] öfter austauschen) nicht günstiger ist.

möglichst deutsche Lokalisierung, deutsche Menüführung

Web-Oberfläche oder Telefon-Menü?
Die Web-Oberfläche ist nur für Dich – kann also Englisch bleiben. Telefon-Menü in Deutsch hat eigentlich jeder. Jedenfalls erinnere ich mich aus dem Stegreif an keine Plattform, die nur Englisch kann. Aber viele Dinge sind dermaßen schlecht bezeichnet – selbst in Englisch –, dass sich die Kollegen so oder so gewöhnen werden müssen. Selbst so vermeintlich einfache Dinge wie ein Gespräch wegdrücken (Abweisen) ist in VoIP/SIP ein Chaos (unterschiedliche SIP-Status Codes, Menübezeichnungen, Tasten-Belegung). Ganz nebenbei bzw. zum Schluss: Ich würde mir an Deiner Stelle nicht nur Digium Asterisk (liebt Ubuntu) sondern auch FreeSWITCH (liebt Debian) anschauen.

 

[johannesfelix]

Ehrlich? Ich würde die HiPath wieder ausgraben und solange weiter nutzen bis sie ausfällt. Vielleicht ist dann die Situation im Bereich VoIP/SIP besser. Und vielleicht haben sich bis dahin die Hersteller entschieden, ob sie Android oder direkt Linux nehmen. Meine Meinung zu Android in VoIP/SIP-Telefonen findest Du in jenem Thread …

Die Hpath frisst Unmengen an Strom. Selbst wenn ich mich da reduziere auf den gleichen Ausbau, wie ich ihn für Asterisk anstrebe, bleiben noch >200W übrig. Das is schon ne Menge Kohle. So ein Raspi is da sparsamer.

Deine Meinung von Android-basierten schnurgebundenen (oder auch mobilen) Geräten teile ich uneingeschränkt. Mir schwebt jedoch eher vor, die Schnurapparate meiner Kinder durch ein Softphone auf ihrem Smartphone zu ersetzen. Da glotzen sie eh dauernd drauf und mit dem Tischtelefon werden sie auch nicht grün. Ich könnt aber wenigstens intern vermitteln. Dann entfällt aber auch der Kritikpunkt mit dem unsicheren OS drunter, die Smartphones, die wir einsetzen werden noch regelmäßig mit Updates versorgt und danach sind sie eh im Arsch und werden getauscht.

Wenn Du es mit VoIP/SIP noch nicht lassen kannst, würde ich Snom nehmen. Snom hat eine Webseite zu End-of-Life. Du solltest nämlich darauf achten, keine veraltete Plattform bzw. Modelle eines Herstellers zu kaufen.
...
Ganz nebenbei bzw. zum Schluss: Ich würde mir an Deiner Stelle nicht nur Digium Asterisk (liebt Ubuntu) sondern auch FreeSWITCH (liebt Debian) anschauen.

Guck ich mir mal an, Danke für den Tipp!

Stellt sich mir noch die Frage, wie kriege ich meine ganzen Gigasets an Asterisk/Freeswitch dran (ohne die Fritzbo als DECT Basis zu nutzen), im Zweifel könnte ich da auch drauf verzichten wegzuvermitteln/transferrieren (aber ich möchte ggf hinvermitteln können).

Würd mir ne Go Box 100 oder so ein N520 überlegen und das als VOIP-Clients bei der PBX einmelden.

Grüßle
Felix

--

Wenn Du noch mehr Hersteller suchst, gab für Digium Asterisk die Tage mal eine Übersicht … (Präsentation: Folie 8). Niemand kann in die Zukunft schauen. Aus der Vergangenheit irgendwelche Tendenzen für die Zukunft ableiten … wenn Du selbst Administrator spielst, brauchst Du entweder A) ein ausgereiftes System, B) ein gut dokumentiertes System oder C) einen Anbieter bei dem Du Software-Bugs melden kannst. Ersteres sehe ich in VoIP/SIP nach 20 Jahren noch immer nicht. Letzteres kannst Du bei fünf Telefonen vergessen – Du wirst bestenfalls ignoriert, normalerweise angelogen oder im schlimmsten Fall in ein Hamster-Rad von Nachfragen geschoben.

Ja... nun kommen wir der Sache ja dann auf den Punkt. So, wie ich das lese - auch aus den Lifecycle-Dokus von SNOM - kann ich nicht erwarten, dass ich eine VOIP-Anlage über längere Zeit im gleichen Netz betreiben kann, wie andere IT. Die Hardware hat ne Verkaufszeit von etwa 3 Jahren, vielleicht 4. Danach noch 1-2 Jahre Security-Fixes oben drauf und dann ist Schluss. Danach sammeln sich die Security-Löcher an und werden nicht mehr gefixt. Das zu mitigieren wäre also erstmal ein eigenes VLAN für die VOIP-Infrastruktur (und da bin ich dann fast schon wieder bei einer eigenen Infrastruktur wie bei einer herkömmlichen PBX. Wenn ich nur einen geringen Vorteil von der gesharten Ethernet-Infrastruktur haben möchte, dann müssen die switche in den VOIP-Phones mit VLANS sauber umgehen können.

Also muss ich wohl über übel bei der Kostenkalkulation davon ausgehen, dass ich im Prinzip jedes Endgerät alle 4 Jahre tausche, um sicherheitsmäßig auf dem Laufenden zu bleiben.

Doch nicht so einfach. Vielleicht hör ich ja einfach auf zu telefonieren

Gruß
Felix

 

[koyaanisqatsi]

Moinsen

Vielleicht hör ich ja einfach auf zu telefonieren

Dann vergiss aber nicht das Smartfon mit seiner "vorbildlichen" Sicherheitsinfrastruktur.

Kopfkino
Batman scannt via Mobiles-Ultraschall von Mitarbeitern und Passanten seinen "Arbeitsplatz"

SNOM
...ist bis Anschlag mit Asterisk PBX zu empfehlen.
MWI, BLF, Sendtext(), SIP-Notify's, externe Klingeltöne über SIP-Header ( Alert-Info: ), etc., etc,...

Raspberry-Asterisknummer in der F!B/ATA anlegen und schon kanns losgehen, schade nur dass das Funkgerät im...

jedoch nicht die Fritzbox, die steht im Serverrack.

...dümpelt.
Deswegen werdens wohl erstmal Softphones oder eventuell Android SIP-Klienten werden.
...ist aber gut zum Üben, wies mit VoIP so läuft.

 

[ta99]

Also muss ich wohl über übel bei der Kostenkalkulation davon ausgehen, dass ich im Prinzip jedes Endgerät alle 4 Jahre tausche, um sicherheitsmäßig auf dem Laufenden zu bleiben.

Welche Sicherheitsrisiken siehst Du für ein IP-Telefon, das sich nur lokal an der Telefonanlage registriert?

 

[johannesfelix]

Für sich alleine gesehen besteht bei dem Paar IP-Telefon <-> VOIP-Telefonanlage vermutlich kein großes Risiko. Die zwei Komponenten stehen aber nicht alleine für sich. Im noch sichersten Fall befinden sich die VOIP-Komponenten in ihrem eigenen abgeschotteten Netz und sehen sich nur gegenseitig. In meinem Fall würde ich sie aber neben ganz ganz vielen anderen Komponenten in einem geshareten Netz betreiben. Da ist mein WIFI-Router (VOIP-GW zum Netzbetreiber, Fritzbox), da stehen noch andere Komponenten drin. Smart-TVs, Set-Top-Boxen, Smartphones, sonstige Smart-Appliances, Access Points, NAS, Desktop-PCs, ... und alle Geräte wähle ich so aus, dass ich sie nur so lange betreibe, wie ich Security-Updates dafür bekomme.

Meine Befürchtung ist, dass die Kombination aus mehreren unsicheren Geräten das Risiko erhöht. Eine Komponente wird kompromittiert und von dort gehts weiter zu anderen Komponenten, die von außen vielleicht gar nicht erreichbar sind.

Bei einem so kassen Medienbruch wie IP -> ISDN ist sowas extrem unwahrscheinlich, aber wenn alle Teilnehmer in einem großen IP-Teich schwimmen, dann muss ich einfach gucken, dass ich jede Komponente so sicher bekomme, wie nur möglich. Und deshalb würde ich Geräte, die vom Hersteller nicht mehr mit Updates versorgt werden, rausnehmen. Schon alleine die ganzen Vertrauensanker in einer PKI-basierten Verschlüsselungsarchitektur sind ja zeitlich limitiert. Dann die Beistellleistungen von Drittanbietern (GNU, Linux, Android, ...) bergen Sicherheitsrisiken, die zu mitigieren wenigstens einen Willen des Herstellers bedürfen, diese auch durch Updates zu beseitigen. Bei offenen Systelem wie Asterisk oder nem Linux-Unterbau kann ich mich da selbst drum kümmern, dass da Updates draufkommen, bzw. ich vertraue darauf, dass ich da rankomme. Bei geschlossenen Systemen bleibt mir nur der Hersteller/Anbieter.

Der will natürlich neue Geräte verkaufen und kann sich quasi per "wir liefern nun keine Security-Updates mehr" schnell neuen Bedarf auf Kundenseite generieren. Machen viele Smartphonehersteller ja auch so, mit der Ausnahme, dass dort die Geräte ja schon wegen ihres Akkus irgendwann unbrauchbar werden.

Also ich muss einen irgendwie gearteten Aufwand betreiben, ungepatchte Komponenten abzukapseln. Ich will keinem Hersteller den Vorwurf machen, hier Mist zu bauen, denn wenn irgendwo Schadware in mein Netz kommt, dann vermutlich nur durch mich selbst, aber ich möchte dann wenigstens, dass der keine Gelegenheit hat, sich einzunisten.

Grüßle
Felix

 

[ta99]

Die Trennung der Netze ist für mich eine Selbstverständlichkeit und dann ist das Telefon sicher.

 

[johannesfelix]

Die Trennung der Netze ist für mich eine Selbstverständlichkeit und dann ist das Telefon sicher.

Auf welchem Layer trennst Du, bzw. empfiehlst Du zu trennen?

Gruß
Felix

 

[sonyKatze]

Drei Jahre sind schon extrem kurz. Snom hatte einige Modelle, wie das Snom 320, die über 10 Jahren liefen. Aber man bekommt keine Garantie oder Gewissheit. Das Snom D725 läuft seit Ende 2014 und es ist noch kein Ende in Sicht. Das D710 kam Anfang 2016 raus – ob wirklich ab September keine Updates mehr kommen, müssen wir abwarten. Normal hätte ich geschrieben, „achte auf Gigabit-Ethernet und USB-Buchse“. Aber das richtig teure Snom D745 wird offiziell auch nur vier Jahre alt. Und das ist die Zeitspanne, wenn Du am Tag der Erstverfügbarkeit gekauft hättest. Und Snom ist einer der wenigen Hersteller, die überhaupt den End-of-Life dokumentieren. Kurz: Du stellt eine Frage, um die sich die Hersteller offensichtlich nicht scheren. Wie die sich das vorstellen, ist mir schleierhaft; aber sie kamen damit seit über 20 Jahren durch.

Würd mir ne Go Box 100 oder so ein N520 überlegen und das als VOIP-Clients bei der PBX einmelden.

Würde die neue Gigaset N670 nehmen (bzw. abwarten bis die erste bei eBay auftaucht), einfach weil die auf einer neuen Software-Plattform basiert. Wie die mit nicht-PRO Mobilteilen von Gigaset harmoniert, müsste irgendwer noch testen.

[Mit einer] Trennung der Netze ist […] dann ist das Telefon sicher.

Auch hier die Frage: Wie geht das bei Dir genau?
Die Telefone sind bei mir irgendwann/wie mit dem öffentlichen Netz verbunden = heute: All-IP = Internet. Wie der Thread-Ersteller schreibt, könnte ein externer Angreifer so auch bei mir von System zu System hüpfen. Auch gilt seit Jahren der lokale Angreifer als Sicherheitsrisiko – jemand aus der Firma also ein angestellter Mitarbeiter. Heutzutage wollen viele Angreifer auf die Telefonanlage und irgendwelche Gebühren-Anrufe machen. Aber ein Angreifer könnte sich auch für die Web-Oberfläche der Telefone interessieren. Wenn diese Oberfläche dann Lücken hat … nächste Woche Samstag ist auf der DEF CON 27 genau dazu ein Vortrag… dem kann man dadurch begegnen, indem man die Web-Oberflächen der Telefone abschaltet. Der verlinkte Vortrag oben in meinem ersten Post, beschäftigt sich damit den Transport abzusichern – also das Telefonat zwischen Telefon und Telefonanlage abzusichern. Beide Vorträge zeigen, dass noch zu tun ist.