Ein SIP-Trunk ist eine virtuelle Verbindung, die Sprache über IP zwischen einer Telefonanlage und einem Carrier trägt und physische PRI/TDM-Trunks ersetzt. Ein Session Border Controller (SBC) sitzt an der Grenze eines SIP-Netzes, um es abzusichern, die interne Topologie zu verbergen, NAT-Traversal (mit STUN/TURN/ICE) zu lösen und zu steuern, welche Sitzungen zugelassen werden.
Was ein SIP-Trunk ist
Ein SIP-Trunk ersetzt den physischen Telefon-Trunk (eine ISDN-PRI oder TDM-Leitung) durch eine SIP-Sitzung über eine IP-Verbindung zwischen einer Unternehmens-Telefonanlage (IP-PBX) und einem Internet-Telefonie-Diensteanbieter oder Carrier. Er trägt gleichzeitige Anrufe als SIP-signalisierte, RTP-getragene Medien und skaliert durch das Bereitstellen von Kanälen statt durch das Verlegen von Kupfer. SIP-Trunking ist, wie Organisationen ihre Sprache über IP mit dem PSTN verbinden und wie Carrier Sprache zwischen Netzen koppeln.
Das NAT-Problem
SIP und SDP betten IP-Adressen und Ports in ihre Nachrichten ein — den Contact-Header, den Via und die SDP-c=- und -m=-Zeilen. Sitzt ein Endpunkt hinter NAT, sind diese eingebetteten Adressen seine privaten, die von außen nicht routbar sind, sodass die Signalisierung verbinden kann, während die Medien nirgendwohin gelangen — das klassische Einweg- oder Kein-Audio-Symptom. Dies zu lösen bedeutet, die öffentliche Adresse/Port zu ermitteln und anzukündigen, die ein NAT tatsächlich verwendet, wofür STUN, TURN und ICE da sind.
| Mechanismus | RFC | Rolle |
|---|---|---|
| STUN | RFC 8489 | Ermittelt die öffentliche IP-Adresse und den Port, die ein NAT dem Endpunkt zuweist |
| TURN | RFC 8656 | Medien über einen Server weiterleiten, wenn direkte Pfade scheitern (symmetrisches NAT) |
| ICE | RFC 8445 | Kandidaten sammeln und testen, welches Adresspaar tatsächlich funktioniert |
STUN, TURN und ICE
Die drei arbeiten zusammen. STUN lässt einen Endpunkt einen Server fragen „unter welcher öffentlichen Adresse siehst du mich?" und offenbart die NAT-Bindung, die er ankündigen sollte. TURN stellt ein Relay bereit: Sind NATs für einen direkten Pfad zu restriktiv, werden Medien über einen TURN-Server weitergeleitet, den beide Seiten erreichen können. ICE verbindet sie — jede Seite sammelt Kandidatenadressen (lokal, STUN-abgeleitet, TURN-relayed), tauscht sie im SDP aus und führt Konnektivitätsprüfungen durch, um das beste funktionierende Paar zu wählen. ICE ist in WebRTC verpflichtend und wird zunehmend für SIP hinter NAT genutzt.
Der Session Border Controller
Ein SBC ist das Demarkationsgerät am Rand eines SIP-Netzes — zwischen einem Unternehmen und seinem Carrier oder zwischen zwei Carriern. Er agiert fast immer als Back-to-Back User Agent, terminiert jeden Anruf und initiiert ihn neu, was ihm seine Kernaufgaben ermöglicht: das Verbergen der internen Topologie (externe Parteien sehen nie interne Adressen oder den echten Signalisierungspfad), das Durchsetzen von Sicherheit und Admission Control und das Beheben von NAT- und Interoperabilitätsproblemen. Er ist im Grunde eine Firewall und ein Übersetzer, eigens für Echtzeit-Sprache gebaut.
| Funktion | Zweck |
|---|---|
| Topologie-Verschleierung (B2BUA) | Interne Adressen, Routing- und Dialogdetails ausblenden |
| Sicherheit | SIP-Scanning/DoS blockieren, TLS/SRTP erzwingen, Registrierungen per Rate-Limit begrenzen |
| NAT-Traversal | Eingebettete private Adressen korrigieren; Medien verankern/weiterleiten |
| Zulassungskontrolle / CAC | Begrenzung gleichzeitiger Anrufe, Schutz von Bandbreite und Lizenzen |
| Interworking | SIP-Dialekte normalisieren, Codecs transkodieren, Transporte überbrücken |
| Media Anchoring (Medienverankerung) | RTP zur Überwachung und gesetzlichen Überwachung (Lawful Intercept) über den SBC leiten |
Topology Hiding und Sicherheit
Weil der SBC jeden Anruf als B2BUA neu initiiert, sehen externe Gegenstellen nur die eigenen Adressen des SBC, nicht die interne PBX, Proxies oder Teilnehmer-IPs — dieses Topology Hiding vereinfacht die Kopplung und verwehrt Angreifern eine Karte des internen Netzes. Darüber hinaus setzt der SBC die Sicherheitshaltung durch: TLS für die Signalisierung und SRTP für die Medien, Registrierungs- und Anrufraten-Limits, um Flooding und Toll-Fraud-Versuche zu bremsen, und die Normalisierung fehlerhaften oder dialektspezifischen SIP, damit Eigenheiten einer Seite die andere nicht erreichen. Deshalb terminieren produktive SIP-Trunks auf einem SBC, statt eine PBX direkt freizulegen.
Häufig gestellte Fragen
Was ist ein SIP-Trunk?
Ein SIP-Trunk ist eine virtuelle Sprachverbindung über IP zwischen einer Telefonanlage (IP-PBX) und einem Carrier oder Diensteanbieter, die physische PRI/TDM-Trunks ersetzt. Er trägt gleichzeitige Anrufe als SIP-Signalisierung mit RTP-Medien und skaliert durch das Bereitstellen von Kanälen statt durch das Verlegen physischer Leitungen.
Was macht ein Session Border Controller?
Ein SBC sitzt am Rand eines SIP-Netzes und sichert es: Er verbirgt die interne Topologie (agiert als B2BUA), erzwingt TLS/SRTP und Ratenlimits, löst NAT-Traversal und Media-Anchoring, steuert, wie viele gleichzeitige Anrufe zugelassen werden, und normalisiert SIP zwischen Systemen, die es unterschiedlich implementieren.
Warum bekomme ich Einweg- oder kein Audio bei SIP-Anrufen?
Meist NAT. SIP und SDP tragen eingebettete IP-Adressen; hinter NAT sind diese privat und nicht routbar, sodass die Signalisierung verbindet, aber RTP-Medien keinen Rückweg haben. Behoben wird das, indem die korrekte öffentliche Adresse über STUN/ICE angekündigt oder Medien über TURN oder einen SBC relayed werden.
Was ist der Unterschied zwischen STUN, TURN und ICE?
STUN ermittelt die öffentliche Adresse, die ein NAT Ihnen zuweist. TURN relayed Medien über einen Server, wenn ein direkter Pfad unmöglich ist. ICE orchestriert beides — sammelt Kandidatenadressen, tauscht sie aus und testet, welches Paar tatsächlich verbindet. ICE nutzt STUN und TURN als seine Werkzeuge.
Ist ein SBC eine Firewall?
Es ist eine auf Echtzeit-Sprache spezialisierte Firewall. Eine allgemeine Firewall versteht keine SIP-Dialoge, SDP-eingebetteten Medienports oder RTP, sodass sie die richtigen Pinholes nicht sicher öffnen oder die Topologie verbergen kann. Ein SBC ist SIP- und RTP-bewusst und ergänzt Topology Hiding, Admission Control und Transcoding, das eine Datenfirewall nicht bietet.
Quellenspezifikationen
Diese Seite basiert auf den veröffentlichten Standards. (Wird in einem neuen Tab geöffnet.)