Federation#

Leistungsmerkmale#

XPhone Connect Federation ermöglicht die Kommunikation mit externen Kontakten über verschiedene Systeme (freigegeben sind Microsoft Teams und andere XPhone Server) hinweg. Die Hauptfunktionen umfassen:

Präsenzstatus-Austausch
Benutzer können ihren aktuellen Präsenzstatus mit externen Kontakten teilen (Anwesend, Beschäftigt, Abwesend, Nicht stören).

Hinweis

Der Telefoniestatus wird nicht übermittelt. Während eines Telefonats wird weiterhin die aktuelle Präsenz angezeigt.
Instant Messaging
Unterstützung von 1:1-Chats mit externen Kontakten. Gruppenchats werden nicht unterstützt.
Dateiaustausch
Der Versand von Dateien, einschließlich Bildern, ist nicht möglich.
Benutzerautonomie
Benutzer erhalten Präsenzanfragen von föderierten Kontakten und können individuell entscheiden, ob sie ihren Präsenzstatus teilen möchten.

Hinweise#

5. Benutzernamen und Kontakte

Föderation mit Systemen außerhalb des eigenen Netzes

Wenn Benutzer fremder Systeme Nachrichten an XPhone-Benutzer senden und deren Präsenzstatus teilen möchten, muss die IM-Adresse der XPhone-Benutzer bekannt sein. Häufig entspricht diese der E-Mail-Adresse.

Es empfiehlt sich, in der Web-Administration des XPhone Servers unter Systemeinstellungen > Allgemein unter Domäne (Namensraum) die E-Mail-Domäne zu verwenden, beispielsweise:

acme.com

Unter Benutzerverwaltung > Standort/Konfigurationsgruppe > Benutzer setzen sich die Benutzernamen dann folgendermaßen zusammen:

<Anmeldename>@<Domäne (Namensraum)>

In diesem Beispiel also:

<Anmeldename>@acme.com

Es ist sinnvoll, den Anmeldenamen mit der E-Mail-Adresse gleichzusetzen, da dieser für die Föderation entscheidend ist. Das bedeutet, dass dieses Konzept sowohl bei der manuellen Erstellung der Benutzer als auch bei der Erstellung der Benutzer über Konnektoren beachtet werden sollte.

Föderation mit Systemen im eigenen Netz

Wenn Benutzer innerhalb der eigenen Firma über unterschiedliche XPhone-Server Nachrichten austauschen oder den Präsenzstatus teilen möchten, müssen die XPhone-Server jeweils eine eindeutige Domäne (Namensraum) verwenden. Sind die Server Teil derselben Windows-Domäne, müssen zusätzliche Forward-Lookupzonen eingerichtet werden, um sie über eine weitere interne Top-Level-Domain erreichbar zu machen.

Beispiel:

FQDN	Zusätzlicher FQDN [1]	Domäne (Namensraum) [2]	Benutzernamenkonzept
s1.training.com	s1.training1.com	training1.com	<Anmeldename>@training1.com
s2.training.com	s2.training2.com	training2.com	<Anmeldename>@training2.com

Diese Benutzernamen muss der Systembetreuer über das XPhone Directory zur Verfügung stellen. Im speziellen wird das Datenbankfeld XmppAddress verwendet um mit anderen zu föderieren. Dafür bieten sich folgende Möglichkeiten an:

Active Directory als zentrale Datenquelle
- Das Active Directory wird auf allen XPhone-Servern als Datenquelle konfiguriert.
- Die eindeutige XPhone-Benutzerkennung wird in einem beliebigen Feld im Active Directory hinterlegt.
- In der Feldverknüpfung des XPhone Directorys wird dieses AD-Feld auf das XPhone-Feld XmppAddress gemappt.
LDAP Client Interface & XPhone User Datenquelle
- Auf jedem XPhone Server wird ein LDAP Client Interface sowie eine zusätzliche XPhone User Datenquelle erstellt.
- In den Berechtigungen der XPhone User Datenquelle wird nur das neue LDAP Client Interface konfiguriert.
- Jedes XPhone Directory erhält eine LDAP-Datenquelle, die das LDAP Client Interface des jeweils anderen Servers nutzt.
Beispiel:
- XPhone Server 1 stellt über sein LDAP Client Interface alle Benutzer mit ihren XmppAddress-Daten bereit.
- XPhone Server 2 macht dasselbe für seine Benutzer.
- XPhone Server 1 nutzt das LDAP Client Interface von XPhone Server 2 als LDAP V2/V3-Datenquelle für die Föderation.
- XPhone Server 2 verwendet das LDAP Client Interface von XPhone Server 1 entsprechend als Datenquelle.
CSV-Datei als Datenquelle:
- Eine CSV-Datei wird auf einem Netzwerklaufwerk abgelegt.
- Diese Datei wird auf jedem XPhone Server als CSV-Datenquelle konfiguriert.
- Die Datei muss die XmppAddress-Daten der Benutzer enthalten, die Felder müssen entsprechend gemappt werden.

Konfiguration#

Open Federation#

1. Grundannahme

Der XPhone Server der Firma acme hat die interne IP-Adresse 192.168.1.100 und hört dort auf den Port 5061. Dieser XPhone Server soll über die öffentliche IP-Adresse 63.201.34.21 und den Port 5061 erreicht werden. Open Federation mit Microsoft Teams ist gewünscht.

Die Domäne (Namensraum) ist in der Web-Administration des XPhone Servers unter Systemeinstellungen > Allgemein wie folgt konfiguriert:

Server FQDN [3]	Domäne (Namensraum)
connect.acme.com	acme.de

Direct Federation#

1. Grundannahme

Der XPhone Server s1.training1.com der Firma Training GmbH hat die interne IP-Adresse 10.60.0.121 und hört dort auf den Port 5081. Dieser Server soll mit dem XPhone Server s2.training2.com (IP-Adresse 10.60.0.122, Port 5081) derselben Firma föderieren.

Die Domäne (Namensraum) ist in der Web-Administration in den XPhone Servern unter Systemeinstellungen > Allgemein wie folgt konfiguriert:

Server FQDN [4]	Domäne (Namensraum)
s1.training1.com	training1.com
s2.training2.com	training2.com

4. Zertifikate

Für die Einrichtung der Direct Federation müssen bei der unternehmensinternen Zertifizierungsstelle Zertifikate für die Server s1.training1.com und s2.training2.com beantragt werden. Diese Zertifikate müssen folgende Kriterien erfüllen:

Gültigkeit
Die Zertifikate dürfen nicht abgelaufen sein und müssen im aktuellen Zeitraum gültig sein.
Auflösbarer FQDN
Der im Zertifikat angegebene Fully Qualified Domain Name (FQDN) muss im DNS auflösbar sein.
Vertrauenswürdige Zertifizierungsstelle
Die ausstellende Zertifizierungsstelle muss als vertrauenswürdige Stammzertifizierungsstelle im System hinterlegt sein (unter den vertrauenswürdigen Stammzertifizierungsstellen).

Die ausgestellten Zertifikate sind im Zertifikatsspeicher des Computers zu installieren, auf dem der XPhone Server läuft.

Zertifikate durch Windows CA ausstellen

Den folgenden Abschnitt müssen Sie sowohl für das Zertifikat des Servers s1.training1.com, als auch s2.training2.com durchführen.

Melden Sie sich an dem Desktop des XPhone Servers an (in diesem Beispiel s1.training1.com).

Öffnen Sie einen Texteditor und erstellen Sie eine INF-Datei mit folgendem Inhalt:

s1.inf#

[Version]
Signature="$Windows NT$"

[NewRequest]
Subject = "CN=s1.training1.com"
KeySpec = 1
KeyLength = 2048
Exportable = TRUE
MachineKeySet = TRUE
SMIME = FALSE
PrivateKeyArchive = FALSE
UserProtected = FALSE
UseExistingKeySet = FALSE
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
ProviderType = 12
RequestType = PKCS10
KeyUsage = 0xa0

[EnhancedKeyUsageExtension]
OID=1.3.6.1.5.5.7.3.1 ; Server Authentication
OID=1.3.6.1.5.5.7.3.2 ; Client Authentication

[Extensions]
2.5.29.17 = "{text}"
_continue_ = "dns=s1.training1.com"

In dieser Datei wird sowohl der CN als auch der SAN auf s1.training1.com gesetzt.

Erstellung der Zertifikatsanforderung (CSR):
- Melden Sie sich am Desktop des XPhone Servers an.
- Öffnen Sie die Eingabeaufforderung als Administrator.
- Navigieren Sie zu dem Verzeichnis, in dem Sie die INF-Datei gespeichert haben.
- Führen Sie folgenden Befehl aus:
  certreq -new s1.inf s1requestfile.req
  Dieser Befehl erstellt eine Zertifikatsanforderungsdatei (s1requestfile.req) und auch einen privaten Schlüssel welcher im Zertifikatsspeicher des Computers gespeichert wird.
Einreichung der Zertifikatsanforderung bei einer Zertifizierungsstelle.
- Öffnen Sie die Webseite der Windows Zertifizierungsstelle unter:
  https://[IP | Hostname]/certsrv
- Folgen Sie der Webseite zu folgendem Pfad:
  
  Ein Zertifikat anfordern > Erweiterte Zertifikatsanforderung > Reichen Sie eine Zertifikatanforderung ein, die…
- Fügen Sie den Inhalt ihrer INF-Datei in das Feld Gespeicherte Anforderung ein und drücken Sie auf das Feld Einsenden.
Zertifikat ausstellen
- Melden Sie sich am Desktop des Servers an, auf dem die Zertifizierungstelle installiert ist.
- Drücken Sie die Tastenkombination Windows + R, um das Ausführen-Dialogfeld zu öffnen.
- Geben Sie certsrv.msc ein und drücken Sie die Eingabetaste.
- Wechseln Sie in den Pfad:
  
  Zertifizierungsstelle (lokal) > MeineCA > Ausstehende Anforderungen
- Klicken Sie mit der rechten Maustaste auf die Zertifikatsanforderung und wählen Alle Aufgaben > Ausstellen.
Zertifikat herunterladen
- Öffnen Sie die Webseite der Windows Zertifizierungsstelle unter:
  https://[IP | Hostname]/certsrv
- Klicken Sie auf Status ausstehender Zertifikate anzeigen und dann auf Ihre Zertifikatsanforderung.
- Laden Sie mit dem Link Download des Zertifikats das Zertifikat herunter und Speichern es unter folgenden Dateinamen ab:
  
  s1.cer
Zertifikat importieren
- Melden Sie sich am Desktop des XPhone Servers an.
- Öffnen Sie die Eingabeaufforderung als Administrator.
- Navigieren Sie zu dem Verzeichnis, in dem sich das Zertifikat s1.cer befindet.
- Um das Zertifikat zu installieren und mit dem zuvor erstellten privaten Schlüssel zu verknüpfen, führen Sie folgenden Befehl aus:
  C:\certs>certreq -accept s1.cer Installed Certificate: Serial Number: 4b00000019eb7436d04e8dffb8000100000019 Subject: CN=s1.training1.com (DNS Name=s1.training1.com) NotBefore: 3/5/2025 10:02 AM NotAfter: 3/5/2026 10:12 AM Thumbprint: fe446b4998f88a9c0bf640e4d236a996804682a4
Dieser Befehl importiert das Zertifikat in den Zertifikatsspeicher des lokalen Computers und verknüpft es mit dem entsprechenden privaten Schlüssel.

5. Web-Administration

Navigieren Sie in der Web-Administration zu:

Systemeinstellungen > Federation

Aktivieren Sie im Abschnitt Allgemein die Checkbox XPhone Connect Federation aktivieren.
Aktivieren Sie im Abschnitt Statische Routen (Direct Federation) die Checkbox Direct Federation aktivieren.
Fügen Sie im jeweiligen Server folgende Routen hinzu:
Auf s1.training1.com:

Domäne

FQDN des Servers

Port

Protokoll

training7.com

s7.training7.com

5081

MTLS

Auf s7.training7.com:

Domäne

FQDN des Servers

Port

Protokoll

training1.com

s1.training1.com

5081

MTLS
Aktivieren Sie die Route und speichern die Einstellung.
Tragen Sie im Abschnitt Öffentlicher Name (FQDN) den FQDN ein, für den Sie die o.g. Einstellungen im öffentlichen DNS vorgenommen haben.
Klicken Sie im Abschnitt Sicherheit/Verschlüsselung auf Zertifikat und wählen das im Schritt 4. Zertifikate erstellte und im Windows-Zertifikatsstore gespeicherte Zertifikat aus.
Wählen Sie im Abschnitt Netzwerkschnittstellen die IP-Adresse aus und tragen Sie den Port 5081 ein.
Speichern Sie die Einstellung.

Navigieren Sie in der Web-Administration zu:

Benutzerverwaltung > Standort [> Konfigurationsgruppe] > Einstellungen

Klicken Sie auf Federation.
Klicken Sie auf den Radiobutton Diese Funktion verwenden.
Speichern Sie die Einstellung.

Verwendung#

Wenn ein XPhone-Benutzer mit jemandem in einem föderierten System Kontakt aufnehmen möchte, geschieht über die XPhone-Kontakte. Diese Kontakte können entweder lokal vom Benutzer verwaltet werden, beispielsweise private Outlook-Kontakte oder direkt im XPhone-Client erstellte Einträge, oder serverseitig über das Directory bereitgestellt werden. Für Federation-Nachrichten wird in diesen Kontakten die IM-Adresse verwendet. Ist dieses Feld in den oben genannten Kontakten nicht gepflegt, wird die E-Mail-Adresse als Fallback genutzt.

Kontaktanfrage#

Hier sehen Sie die Kontaktanfrage bei Direct Federation:

federation_invite

Samira fügt den Kontakt von Betty einer ihrer Kontakte-Gruppe hinzu.
Betty erhält daraufhin eine Kontaktanfrage.
In der Kontaktanfrage kann Betty den Beziehungsstatus zu Samira festlegen und entscheiden ob Samira auch einer Kontakt-Gruppe hinzugefügt werden soll.
Betty löst durch das Hinzufügen von Samira in ihre Kontaktgruppe auch eine Kontaktanfrage bei Samira aus.

Hinweis

Das Zurücksetzen der Beziehungen zu anderen Benutzern entfernt auch die Federation Beziehungen.
Kontaktliste reparieren entfernt hinzugefügte Benutzer aus der Kontaktgruppe.

Beziehungsstatus#

federation_status

Der Präsenzstatus wird entsprechend der Beziehungs-Konfiguration übermittelt. Die Standard Beziehung wird im Standort bzw. der Konfigurationsgruppe konfiguriert:

Benutzerverwaltung > Standort/Konfigurationsgruppe > Benutzer > Beziehungen

Mit dem Dropdown steuern Sie die Standardbeziehungen von föderierenden Systemen auf die Benutzer dieser Konfigurationsgruppen bzw. dieses Standortes:

… außerhalb des XPhone Connect Servers auf Benutzer in dieser Konfigurationsgruppe

In diesem Szenario ist Standard-Beziehung im Standort auf Externe Person eingestellt. Die höchste Beziehungsstufe kann Mitarbeiter sein.

Chat Nachrichten#

Chatnachrichten können auch ohne vorherige Kontaktanfrage gesendet werden. Auch löst eine Chatnachricht keine automatische Kontaktanfrage aus.