Un trunk SIP est une connexion virtuelle qui porte la voix sur IP entre un système téléphonique et un opérateur, remplaçant les trunks physiques PRI/TDM. Un session border controller (SBC) se place à la frontière d'un réseau SIP pour le sécuriser, masquer la topologie interne, résoudre la traversée de NAT (avec STUN/TURN/ICE) et contrôler quelles sessions sont admises.
Ce qu'est un trunk SIP
Un trunk SIP remplace le trunk téléphonique physique (un PRI RNIS ou un circuit TDM) par une session SIP sur une connexion IP entre un système téléphonique d'entreprise (IP-PBX) et un fournisseur de téléphonie sur Internet ou un opérateur. Il porte des appels simultanés sous forme de médias signalés par SIP et portés par RTP, évoluant par provisionnement de canaux plutôt que par pose de cuivre. Le trunking SIP est la façon dont les organisations relient leur voix au RTPC sur IP, et dont les opérateurs interconnectent la voix entre réseaux.
Le problème du NAT
Le SIP et le SDP intègrent des adresses IP et des ports à l'intérieur de leurs messages — l'en-tête Contact, le Via, et les lignes SDP c= et m=. Lorsqu'un point d'extrémité se trouve derrière un NAT, ces adresses intégrées sont ses adresses privées, non routables depuis l'extérieur, si bien que la signalisation peut aboutir tandis que les médias n'ont nulle part où aller — le symptôme classique d'audio unidirectionnel ou absent. Résoudre cela signifie découvrir et annoncer l'adresse/port publique qu'un NAT utilisera réellement, ce à quoi servent STUN, TURN et ICE.
| Mécanisme | RFC | Rôle |
|---|---|---|
| STUN | RFC 8489 | Découvrir l'IP/le port publics qu'un NAT attribue au point de terminaison |
| TURN | RFC 8656 | Relayer les médias via un serveur lorsque les chemins directs échouent (NAT symétrique) |
| ICE | RFC 8445 | Rassemblez les candidats et testez quelle paire d'adresses fonctionne réellement |
STUN, TURN et ICE
Les trois fonctionnent ensemble. STUN permet à un point d'extrémité de demander à un serveur « sur quelle adresse publique me vois-tu ? », révélant le mappage NAT à annoncer. TURN fournit un relais : quand les NAT sont trop restrictifs pour un chemin direct, les médias sont transférés via un serveur TURN que les deux côtés peuvent atteindre. ICE les relie — chaque côté rassemble des adresses candidates (locales, dérivées de STUN, relayées par TURN), les échange dans le SDP, et exécute des tests de connectivité pour choisir la meilleure paire fonctionnelle. ICE est obligatoire en WebRTC et de plus en plus utilisé pour le SIP derrière NAT.
Le session border controller
Un SBC est le dispositif de démarcation en bordure d'un réseau SIP — entre une entreprise et son opérateur, ou entre deux opérateurs. Il agit presque toujours comme un Back-to-Back User Agent, terminant chaque appel et le ré-initiant, ce qui lui permet d'assurer ses fonctions clés : masquer la topologie interne (les parties externes ne voient jamais les adresses internes ni le vrai chemin de signalisation), imposer la sécurité et le contrôle d'admission, et corriger les problèmes de NAT et d'interopérabilité. C'est, en somme, un pare-feu et un traducteur conçus sur mesure pour la voix temps réel.
| Fonction | Objectif |
|---|---|
| Masquage de topologie (B2BUA) | Masquer les adresses internes, le routage et les détails des dialogues |
| Sécurité | Bloquer le scan SIP/DoS, imposer TLS/SRTP, limiter le débit des enregistrements |
| Traversée NAT | Corriger les adresses privées intégrées ; ancrer/relayer les médias |
| Contrôle d'admission / CAC | Limiter les appels simultanés, protéger la bande passante et les licences |
| Interopérabilité | Normaliser les dialectes SIP, transcoder les codecs, faire le pont entre transports |
| Ancrage des médias | Faire passer le RTP par le SBC pour la surveillance et l'interception légale |
Masquage de topologie et sécurité
Parce que le SBC ré-initie chaque appel en tant que B2BUA, les pairs externes ne voient jamais que les adresses propres du SBC, et non le PBX interne, les proxies ou les IP des abonnés — ce masquage de topologie simplifie l'interconnexion et prive les attaquants d'une carte du réseau interne. Par-dessus, le SBC impose la posture de sécurité : TLS pour la signalisation et SRTP pour les médias, limites de débit d'enregistrement et d'appel pour émousser les inondations et tentatives de fraude à la taxation, et normalisation du SIP malformé ou propre à un dialecte pour que les particularités d'un côté n'atteignent pas l'autre. C'est pourquoi les trunks SIP en production se terminent sur un SBC plutôt que d'exposer directement un PBX.
Questions fréquemment posées
Qu'est-ce qu'un trunk SIP ?
Un trunk SIP est une connexion voix virtuelle sur IP entre un système téléphonique (IP-PBX) et un opérateur ou fournisseur, remplaçant les trunks physiques PRI/TDM. Il porte des appels simultanés sous forme de signalisation SIP avec médias RTP, et évolue par provisionnement de canaux plutôt que par pose de lignes physiques.
Que fait un session border controller ?
Un SBC se place en bordure d'un réseau SIP et le sécurise : il masque la topologie interne (agissant comme B2BUA), impose TLS/SRTP et des limites de débit, résout la traversée de NAT et l'ancrage des médias, contrôle le nombre d'appels simultanés admis, et normalise le SIP entre systèmes qui l'implémentent différemment.
Pourquoi ai-je un audio unidirectionnel ou absent sur les appels SIP ?
Généralement le NAT. Le SIP et le SDP portent des adresses IP intégrées ; derrière un NAT, elles sont privées et non routables, si bien que la signalisation aboutit mais que les médias RTP n'ont nulle part où revenir. Corriger cela signifie annoncer la bonne adresse publique via STUN/ICE ou relayer les médias via TURN ou un SBC.
Quelle différence entre STUN, TURN et ICE ?
STUN découvre l'adresse publique qu'un NAT vous attribue. TURN relaie les médias via un serveur quand un chemin direct est impossible. ICE orchestre les deux — rassemblant les adresses candidates, les échangeant, et testant quelle paire se connecte réellement. ICE utilise STUN et TURN comme outils.
Un SBC est-il un pare-feu ?
C'est un pare-feu spécialisé pour la voix temps réel. Un pare-feu général ne comprend pas les dialogues SIP, les ports média intégrés au SDP ni le RTP, il ne peut donc ouvrir en sûreté les bons pinholes ni masquer la topologie. Un SBC est conscient du SIP et du RTP, ajoutant masquage de topologie, contrôle d'admission et transcodage qu'un pare-feu de données ne peut offrir.
Spécifications sources
Les normes publiées sur lesquelles repose cette page. S'ouvre dans un nouvel onglet.