FTTH separates Voice-VLAN und Firewall

[Campkom]

Hallo zusammen,

demnächst wird bei uns ein FTTH-Anschluss verfügbar sein, der natürlich schon gebucht ist. Die technische Umsetzung in meinem Netzwerk ist mir aber noch nicht ganz klar. Vielleicht kann mir hierzu jemand ein gute Lösung liefern.

Aktuell habe einen normalen VDSL-Anschluss (untagged). Nach einem Vigor 166 als Modem setzte ich als Firewall/Router SophosXG ein. An diesem terminieren mehre VLANs mit deren Gateways. In einem VLAN befindet sich meine Telefonanlage (3CX) und die IP-Endgeräte

Mit dem FTTH-Anschluss stellt der Provider zukünftig Internet (Daten) und Voice (VoIP) mit zwei separaten VLAN-Tags bereit. DAzu meine Frage, wie dies am besten umgesetzt werden kann.

Meine Gedanken dazu:
Den FTTH-Anschluss möchte ich direkt auf meinem Switch (SFP) terminieren. Das Daten-VLAN geht "normal"/ wie bisher weiter zur SophosXG.

Wie verfahre ich am besten mit dem Voice-VLAN? Die Telefonanlage direkt die per DHCP die IP-Adresse im Voice-VLAN beziehen zu lassen ist keine Lösung.
An dieser Stelle möchte ich einmal das Stichwort SBC einwerfen, wäre so etwas hier sinnvoll? Wenn ja, wie?

Oder soll das Voice-VLAN einfach mit an die Firewall und dort eine separate Route/Regel für den Voice-Traffic eingerichtet werden?


Wie ist das sinnvollste Design dafür?

Vielen Dank schon einmal.

 

[norKoeri]

Die Telefonanlage direkt die per DHCP die IP-Adresse im Voice-VLAN beziehen zu lassen ist keine Lösung.

Aus reiner Neugierde: Warum?

 

[Campkom]

Wenn das eine gängige Lösung ist, lasse ich mich gern überzeugen. Aber ein solchen Dienst in ein nicht von mir verwaltetes und potenziell gefährliches Netz?

Und zum anderen würde dann 3CX zwei Netzwerkinterfaces benötigen. Eines nach Extern und eines nach intern. Das würde ich gern vermeiden.

Wie wäre eine Lösung hierfür? Ein SBC zwischen Provider und der PBX?

 

[lesmona]

Warum nicht das VoIP auch an die XG. Das kann die sicherlich. Also unsere UTM in der Firma kann das...

 

[norKoeri]

Aber ein solchen Dienst in ein nicht von mir verwaltetes und potenziell gefährliches Netz?

Soweit ich das verstand, muss eine Telefonanlage aus diversen Gründen sowieso dieses Szenario beherrschen. Aber im Zweifel nochmal bei 3CX nachfragen. Wenn die Dir sagen, es muss hinter eine Firewall, dann sollen die Dir auch die Konfiguration dafür sagen. Wüsste nämlich nicht, was ein Session-Border-Controller hier helfen würde.

 

[kingpin42]

An für sich kann man den Switch auch weglassen und eine Bridgegroup auf dem Router einrichten, sofern dieser das kann.