Un SIP trunk è una connessione virtuale che trasporta la voce su IP tra un sistema telefonico e un operatore, sostituendo i trunk PRI/TDM fisici. Un session border controller (SBC) si colloca al confine di una rete SIP per proteggerla, nascondere la topologia interna, risolvere il NAT traversal (con STUN/TURN/ICE) e controllare quali sessioni sono ammesse.
Che cos'è un SIP trunk
Un SIP trunk sostituisce il trunk telefonico fisico (un PRI ISDN o un circuito TDM) con una sessione SIP su una connessione IP tra un sistema telefonico aziendale (IP-PBX) e un provider di telefonia su internet o un operatore. Trasporta chiamate simultanee come media segnalati via SIP e veicolati da RTP, scalando tramite provisioning di canali anziché installando rame. Il SIP trunking è il modo in cui le organizzazioni collegano la voce alla PSTN su IP, e il modo in cui gli operatori interconnettono la voce tra reti.
Il problema del NAT
SIP e SDP incorporano indirizzi IP e porte all'interno dei loro messaggi — l'header Contact, il Via e le righe SDP c= e m=. Quando un endpoint è dietro NAT, quegli indirizzi incorporati sono i suoi privati, non instradabili dall'esterno, quindi la segnalazione può connettersi mentre i media non hanno destinazione — il classico sintomo di audio unidirezionale o assente. Risolverlo significa scoprire e pubblicizzare l'indirizzo/porta pubblici che un NAT userà effettivamente, ed è a questo che servono STUN, TURN e ICE.
| Meccanismo | RFC | Ruolo |
|---|---|---|
| STUN | RFC 8489 | Individua l'IP/porta pubblici che un NAT assegna all'endpoint |
| TURN | RFC 8656 | Inoltra i media tramite un server quando i percorsi diretti falliscono (NAT simmetrico) |
| ICE | RFC 8445 | Raccogli i candidati e verifica quale coppia di indirizzi funziona effettivamente |
STUN, TURN e ICE
I tre lavorano insieme. STUN consente a un endpoint di chiedere a un server 'quale indirizzo pubblico vedi per me?', rivelando il binding NAT da pubblicizzare. TURN fornisce un relay: quando i NAT sono troppo restrittivi per un percorso diretto, i media sono inoltrati attraverso un server TURN che entrambi i lati possono raggiungere. ICE li lega insieme — ciascun lato raccoglie candidati (locali, derivati da STUN, veicolati da TURN), li scambia nell'SDP ed esegue controlli di connettività per scegliere la migliore coppia funzionante. ICE è obbligatorio in WebRTC e sempre più usato per SIP dietro NAT.
Il session border controller
Un SBC è il dispositivo di demarcazione al margine di una rete SIP — tra un'azienda e il suo operatore, o tra due operatori. Agisce quasi sempre come Back-to-Back User Agent, terminando ogni chiamata e ri-originandola, il che gli consente di svolgere i suoi compiti principali: nascondere la topologia interna (le parti esterne non vedono mai indirizzi interni o il percorso di segnalazione reale), applicare sicurezza e controllo di ammissione e risolvere problemi di NAT e interoperabilità. È, di fatto, un firewall e un traduttore costruiti appositamente per la voce in tempo reale.
| Funzione | Scopo |
|---|---|
| Occultamento della topologia (B2BUA) | Nascondi gli indirizzi interni, il routing e i dettagli di dialogo |
| Sicurezza | Blocca scansioni SIP/DoS, imponi TLS/SRTP, limita la frequenza delle registrazioni |
| NAT traversal | Correggere gli indirizzi privati incorporati; ancorare/inoltrare i media |
| Controllo di ammissione / CAC | Limita le chiamate simultanee, proteggi la larghezza di banda e le licenze |
| Interworking | Normalizzare i dialetti SIP, transcodificare i codec, collegare i trasporti |
| Ancoraggio dei media | Instradare l'RTP attraverso l'SBC per il monitoraggio e l'intercettazione legale |
Topology hiding e sicurezza
Poiché l'SBC ri-origina ogni chiamata come B2BUA, i peer esterni vedono sempre e solo gli indirizzi dell'SBC stesso, non il PBX interno, i proxy o gli IP degli abbonati — questo topology hiding semplifica l'interconnessione e nega agli attaccanti una mappa della rete interna. Oltre a ciò, l'SBC applica la postura di sicurezza: TLS per la segnalazione e SRTP per i media, limiti sul tasso di registrazione e di chiamata per smorzare i tentativi di flooding e frode telefonica e normalizzazione del SIP malformato o specifico di un dialetto affinché le peculiarità di un lato non raggiungano l'altro. È per questo che in produzione i SIP trunk terminano su un SBC anziché esporre direttamente un PBX.
Domande frequenti
Che cos'è un SIP trunk?
Un SIP trunk è una connessione vocale virtuale su IP tra un sistema telefonico (IP-PBX) e un operatore o provider di servizi, che sostituisce i trunk PRI/TDM fisici. Trasporta chiamate simultanee come segnalazione SIP con media RTP e scala tramite provisioning di canali anziché installando linee fisiche.
Cosa fa un session border controller?
Un SBC si colloca al margine di una rete SIP e la protegge: nasconde la topologia interna (agendo da B2BUA), applica TLS/SRTP e limiti di tasso, risolve il NAT traversal e l'ancoraggio dei media, controlla quante chiamate simultanee sono ammesse e normalizza il SIP tra sistemi che lo implementano diversamente.
Perché ho audio unidirezionale o assente sulle chiamate SIP?
Di solito il NAT. SIP e SDP trasportano indirizzi IP incorporati; dietro NAT sono privati e non instradabili, quindi la segnalazione si connette ma i media RTP non hanno via di ritorno. Risolverlo significa pubblicizzare l'indirizzo pubblico corretto tramite STUN/ICE o veicolare i media attraverso TURN o un SBC.
Qual è la differenza tra STUN, TURN e ICE?
STUN scopre l'indirizzo pubblico che un NAT vi assegna. TURN veicola i media attraverso un server quando un percorso diretto è impossibile. ICE orchestra entrambi — raccogliendo indirizzi candidati, scambiandoli e verificando quale coppia si connette effettivamente. ICE usa STUN e TURN come suoi strumenti.
Un SBC è un firewall?
È un firewall specializzato per la voce in tempo reale. Un firewall generico non comprende i dialoghi SIP, le porte media incorporate nell'SDP o l'RTP, quindi non può aprire in sicurezza i pinhole corretti né nascondere la topologia. Un SBC è consapevole di SIP e RTP, aggiungendo topology hiding, controllo di ammissione e transcodifica che un firewall dati non può offrire.
Specifiche della fonte
Gli standard pubblicati su cui si basa questa pagina. Si apre in una nuova scheda.