Session Border Controller: Funktionalität und Einsatz- Szenarien

Transkript

1 Session Border Controller: Funktionalität und Einsatz- Szenarien Dipl.-Inform. Petra Borowka-Gatzweiler Pascalstraße 25, Aachen Tel.: / Petra.Borowka@ubn.de UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 1

2 Inhalt 1. Warum SBC's? 2. SBC Einsatzszenarien 3. Der Session Border Controller: Funktions-Elemente 4. Leistungsmerkmale von SBCs 5. Fazit UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 2

3 Warum SBC's? Früher autorisiertes Endgerät autorisiertes Endgerät PCM- Codec PCM- Codec PSTN, privates Providernetz PCM- Codec PCM- Codec autorisiertes Endgerät autorisiertes Endgerät Endgeräte: autorisierte Telefone Netzwerk: privates Netzwerk des Telko Providers Voice-only Leitungsvermittlung UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 3

4 Warum SBC's? Heute HA TK Server HA TK Applikationen Standort S2 PSTN... IP Netzwerk Voice 2 Priorisierung 1 EV2 GW GW Media/PSTN Gateway mit Survivability S 0, S 2M S 0, S 2M Daten GV2 1 Etagenverteiler EV1 Gebäudeverteiler GV FIFO IP Netzwerk FIFO Priorisierung RZ-Verteiler 3 SBC PSTN USA GW GW ITSP PSTN Asien GW Media Gateways Priorisierung Priorisierung Außenstandort PSTN Australien voip76c.vsd DECT IP fähige TK Endgeräte GSM Handy (einfach!) Softclient Endgeräte: beliebig Netzwerk: ein bis mehrere öffentliche Netzwerke Multimedia Paketvermittlung UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 4

5 Quelle: 2015 UC, SIP and SBC Plans and Priorities; Webtorials 12/2014 Vertrautheit der Unternehmen mit SBC-Funktionalität 35% 30% 25% 20% 15% 10% 5% 0% 14% 25% 31% 31% 34% 28% 21% 16% extrem ziemlich teils/teils nicht viel/ gar nicht UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 5

6 sbc01.vsd Einsatz-Szenarien für SBCs Service Provider 1 Service Provider 2 SBC SBC SBC SBC SBC Internet Festnetz und Mobilfunk Enterprise IP PBX SBCs kommen an den Grenzpunkten von IP Netzen zum Einsatz Enterprise Service Provider (E-SBC) Außenstandorte Service Provider Access Netze Service Provider (FMC) SBC = Quelle und Ziel aller Signalisierungs- Nachrichten und Media Streams "parallel" zu Daten- Firewalls UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 6

7 sbc02.vsd Unterschiedliche SBC-Typen für Enterprise, UNI und NNI UC IP / SIP PBX SIP Endpunkte Enterprise LAN Abhängig vom Einsatzfall sind SBCs mit unterschiedlichen Feature Sets ausgestattet Enterprise Provider (E-SBC) Enterprise SBC SIP Endpunkte (Subscriber) Service Provider 2 Internet NNI SBC NNI SBC UNI SBC UNI SBC Provider 1 Provider 2 (NNI) SIP Provider 1 Provider Subscriber (UNI) UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 7

8 sbc03.vsd IP/SIP PBX SBC als UNI Border / Netzübergang im Providerenetz SBC UC SIP Endpunkte Außenstelle LAN Enterprise LAN SIP Endpunkte SBC / FW SBC ISDN Telefone Service Provider PSTN Applikations- Server PSTN Gateway Typischerweise steht der SBC in der DMZ zur Abschottung zwischen Service Provider und Kunde Er agiert als ALG Ersatz für den SP und stellt auch CAC bereit Für Calls in Netze anderer (PSTN) Provider entfernt der SBC die Routing Header zum Kundennetz vor Übergabe der Pakete an andere Provider (Verhinderung des direkten Kundenzugangs zum Mitbewerb!) UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 8

9 SBC als NNI Border / Netzübergang sbc04.vsd SIP Endpunkte Kunde von Service Provider 1 IP / SIP PBX TK UC Provider LAN App Application Service Provider SBC PE Router Internet SBC SP2 PE Router VoIP Service Provider SBC PSTN Gateway SBC SIP Endpunkte SP1 PSTN Kunde von Service Provider 2 ISDN Telefone Insbesondere bei gegenseitigen Durchleitungs- Vereinbarungen und unterschiedlichen Dienstangeboten nutzen Provider NNI SBCs zur gegenseitigen Abschottung Beispiel: SP1 ist ASP, hat aber keinen PSTN-Zugang, SP2 hat den PSTN- Zugang, aber keine Applikationen UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 9

10 Redundanz: Ultra High Availability Szenario für E-SBCs Management Data Center 1 Standort 1 UHA: Nutzung von Service Provider 1 Router E-SBC Router Router 2 SIP Trunks 2 Carrier SBC Router Service Provider 2 SBC Router SIP Trunks sbc08b.vsd Management Router UC Suite Data Center 2 E-SBC UC Suite Router MPLS/ Internet Router Standort N 2 Data Center SBC ist Demarkations- Punkt zwischen Enterprise und Service Provider UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 10

11 SBC Grundfunktionalität Basis-Funktionen, die jeder Enterprise SBC implementiert B2BUA Signalisierung Media NAT Traversal UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 11

12 Enterprise SBC IP/SIP PBX UC Enterprise SBC ISDN Telefone PSTN Enterprise LAN SIP Provider sbc05.vsd SIP Endpunkte Konventionelle Router, Firewalls und Traffic Shaper sind nicht wirklich gut für Echtzeit-Verkehr geeignet oder auf dessen spezielle Sicherheitsbedarfe fokussiert E-SBCs stehen üblicherweise in der DMZ und operieren auf der Session Schicht von Echtzeit Protokollen insbesondere SIP, RTP/SRTP und RTCP Insbesondere terminieren sie jede eingehende Session und setzen diese am Ausgang neu auf. Dies ermöglicht Überprüfung des kompletten Verkehrs Anwendung von Sicherheits- und QoS- / CAC-Regeln SIP Endpunkte (Subscriber) Kontrolle des ein- und ausgehenden Verkehrs zwischen Cloud / Provider und Enterprise UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 12

13 Der E-SBC als B2BUA für Signalisierung und Media Stream Calling User Agent SIP Variante A Codec A Verschlüsselung A SIP User Agent Session Kontrol Logik Media Kontrol Logik Verkehr wird untersucht, kontrolliert und manipuliert SIP User Agent SIP Variante B Codec B Verschlüsselung B Calling User Agent sbc06.vsd Der SBC ist als B2BUA eine aktive Komponente im Signalisierungs- und Media- Pfad Er leistet aktive Bearbeitung sowohl der Signalisierung (SIP) als auch der Media Streams (RTP / SRTP), ggf. für Audio und Video und hält alle Session Stati für SIP und Media (RTP) Signalisierungs- und Media Sessions werden im SBC terminiert und neu aufgesetzt Somit sind alle erwünschten Überprüfungen (Sicherheit) und Header- Manipulationen möglich, auch für NAT Abgrenzung SIP Firewall: Ein SIP Firewall agiert als SIP Proxy, handhabt aber keine Media Streams (RTP) UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 13

14 SBC-Nutzung für Signalisierung ISDN / PSTN Enterprise SIP Proxy SIP Endpunkte sbc09.vsd Enterprise Multimedia IP Netzwerk TCP Tunnel SIP 5060 SIP 5060 SBC Eingang SBC Ausgang SBC (B2BUA + FW) SIP Trunk Provider SIP Proxy Die Signalisierung nutzt intern den Port 5060, innerhalb des SBC z.b. einen TCP Tunnel zwischen "SBC-Eingang, Firewall und SBC-Ausgang", der die interne Signalisierung terminiert und nach außen erneut den Port 5060 UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 14

15 SBC-Nutzung für den Media Stream ISDN / PSTN Enterprise SIP Proxy SIP Endpunkte Freie UDP Ports Definierte UDP Ports Freie UDP Ports sbc09.vsd Enterprise Multimedia IP Netzwerk SBC Eingang SBC Ausgang SBC (B2BUA + FW) SIP Trunk Provider SIP Proxy Der Media Stream (z.b. Audio Datenstrom) nutzt intern freie UDP Ports (>1023), die über definierte Ports zwischen "SBC-Eingang, Firewall und SBC-Ausgang" terminiert werden und nach außen als freie UDP Ports neu aufgesetzt werden UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 15

16 Quelle: 2015 UC, SIP and SBC Plans and Priorities; Webtorials 12/2014 Leistungsmerkmale: Wichtigkeit von Enterprise-SBC Funktionen Sicherheits-Dienste für SIP Sessions 2,51 Voice Transcoding: VoIP-zu-VoIP 2,44 Integration mobiler Geräte Call Admisssion Control 2,31 2,27 Video-Konferenz Transcoding Audio-Konferenz Transcoding Voice Transcoding: PCM-zu-VoIP Presence Kollaboration (Desktop Sharing) Voice over WiFi Instant Messaging Translation Voice over LTE Verfügbar als virtualisierte Lösung VoWiFi nach VoLTE Translation (FMC) WebRTC Unterstützung 2,15 2,11 2,06 2,04 2,00 1,95 1,91 1,86 1,75 1,71 1,66 0,0 0,5 1,0 1,5 2,0 2,5 3,0 UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 16

17 Leistungsmerkmale von SBCs (1) Sicherheit SBCs schützen sich selbst, Session Agenten und andere Diensterbringer der Provider Infrastruktur SBCs schützen das Enterprise Netz, die dort positionierten Server und Kommunikationsbeziehungen zum Provider Sie schützen die Session, bieten Schutz gegen Angriffe sowie bei "normalen" (nicht-kriminellen) Überlasten DoS/DDoS Schutz Zugangsschutz (Access Control) Verbergen der internen Topologie Session Schutz (Vertraulichkeit) VPN Trennung Schutz gegen DoS/DDoS auf die Service Infrastruktur Verhindern von Diebstahl (Informationen, Ressourcen, Toll Fraud) UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 17

18 Leistungsmerkmale von SBCs (2) Sicherheit (Forts.) Verbergen der Netzwerk Topologie durch Nutzung von Network Address Translation (NAT) auf Layer 3 (IP) UND Layer 5 (SIP) Applications-Firewall für Voice Schutz gegen TDoS (Telephony Denial of Service) Zugangsschutz Überprüfung und Überwachung Deep Packet Inspection Verschlüsselung bei Internet Traversal Signalisierung und Media Listen-Überwachung Whitelists Blacklists Greylists UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 18

19 Leistungsmerkmale von SBCs (3) Interoperabilität Mediation und Konvertierung zwischen verschiedenen Protokollen für Signalisierung, Transport, Verschlüsselung NAT / Firewall Traversal (ermöglicht, dass Kommunikatios-Sessions über vorhandene Daten Firewalls und NAT Konponenten hinweg kommunizieren können) Bridging für private and öffentliche IPv4 and IPv6 Adress-Räume Interworking zwischen VPNs, Verschlüsselungen, and Transport Protokollen Konvertierung der Signalisierung: SIP-H.323, H.323-SIP and SIP-SIP (trotz "SIP Standard viele Signalisierungs-Varianten bei Unternehmen und Providern) Anpassung von SIP Dialekten, SIP Content SIP Normalisierung, insbesondere zwischen dem Enterprise SIP-Dialekt und dem Provider SIP (SIP Trunk) Konvertierung / Terminierung bei Verschlüsselung: z.b. verschlüsselt unverschlüsselt oder SRTP zu IPsec Translation-Funktionalität für Telefon-Nummer, Adresse und Antwort Codes UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 19

20 Leistungsmerkmale von SBCs (4) Interoperabilität (Forts.) Media Funktionen: Transcoding und/oder Transrating zwischen verschiedenen Codecs, HD Voice und G.711 G.711 und G.729 bei Bandbreiten-Restriktionen Neu-Auswahl des Codec (Renegotiation) für Bandbreiten-Optimierung Fax- und Faxton-Erkennung Media Replizierung für Aufzeichnung (Standard SIPREC) Fehlerkorrektur (z.b. Echo Unterdrückung) Media-Einspielung (z.b. Musik, MoH) Media Bridgefunktion für Voice Video Fax Modem (?) UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 20

21 Leistungsmerkmale von SBCs (5) Qualität, Verfügbarkeit, Robustheit, SLA-Sicherstellung (Forts.) Call Admission Control Überlast Kontrolle IMS Netze: Standard-Zugangsfunktionen wie PCRF und RACS Klassifizierung, Priorisierung und Raten-Limitierung: QoS allgemein, Sicherstellung der SLA-Vereinbarungen oder Notruf Bandbreitenkalkulation und bereitstellung um die Unterstützung neuer Sessions sicherzustellen Überwachung und Reports der aktuellen Session-Qualität, um Einhaltung der Performance Spezificationen / SLA-Vereinbarungen zwischen Enterprise und Provicer zu prüfen / dokumentieren QoS-Kontrolle des Transport-Netzwerks Mappen von und Markieren mit QoS Werten Call Admission Control auf Basis der Verkehrslast (Signaling Element Load), verfügbarer Bandbreite und tatsächlich festgestelltem QoS Policy-based Call Routing QoS Reporting UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 21

22 Leistungsmerkmale von SBCs (6) Qualität, Verfügbarkeit, Robustheit, SLA-Sicherstellung (Forts.) SIP Trunk Load Balancing zur Erhöhung der Verfügbarkeit und Bandbreiteneffizienz Fehlerumschaltung / Rerouting bei Verbindungsfehlern oder Upstream Komponenten-Ausfall Geografische Redundanz beim Service Provider: HA SIP Trunk mit stateful Failover Umrouten auf ein anderes Netz oder das PSTN (solange es noch existiert ) Lokaler PSTN Breakout: Schwenk auf einen lokalen TDM Dienst im Fall eines WAN Ausfalls Regulatorische Compliance Erfüllung der Regulierungs-Vorschriften der jeweiligen Länder Notfall-Nummern (112, 110) Government Emergency Telecommunications Service (GETS), Lauschport (z.b. konform zu CALEA in den USA) UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 22

23 Leistungsmerkmale von SBCs (7) Management Element Management Tools und OSS Schnittstellen für Konfiguration, Administration, IMAC Reporterstellung Auslastung / Nutzung, Echtzeit- und historisch via CDR für Rechnungstellung für Alarme: Session Performance oder Sicherheits-Events Echtzeit-Alarme Netzwerk Sicherheit Ressourcen-Knappheit andere Events, die den Session QoS beeinträchtigen Troubleshooting Demarkationspunkt zwischen Netzen Fehler-Isolierung für Signalisierung oder Media Fehlerbehebung für Signalisierung oder Media UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 23

24 Leistungsmerkmale von SBCs (8) Leistung, Skalierbarkeit CPU Kapazität / Auslastung je x Sessions Unterstützte Anzahl concurrent Calls (oder Sessions) Registrierungs-Rate Weitere Funktionen Verzeichnis-Dienst Unterstützung (AD) UC Plattform Integration mit Multivendor-Lösungen TDM-Schnittstellen für Hybrid-Konzepte (IP und PSTN) UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 24

25 Beispiel: interne SBC-Architektur Host Subsystem Signalling Prozessoren Security Prozessoren Network Interface Unit Netzwerk Prozessor Intelligenter Traffic Manager Netzwerk Prozessor sbc07.vsd I/O Ports I/O Ports Architektur-Beispiel: Oracle (Acme) Transcoding und QoS Engines dedizierte Netzwerk- und Signalisierungs-Prozessoren für Parallelbearbeitung von DoS-Schutz (NP) und Paketweiterleitung mehrere Queues zwischen Netzwerk Prozessoren und Host Subsystem für klassifizierte Paketbearbeitung, separate Bandbreitenzuordnung je Queue separater Prozessor Transcoding und QoS-Funktionen UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 25

26 Veränderung des Umsatzwachstums für SBCs in stieg der weltweite E-SBC Umsatz auf $271 Millionen, das sind 6 Prozent Wachstum im Vergleich zu 2013 Mit $29 ist der durchschnittliche Preis pro Session für E-SBCs deutlich niedriger als der von traditionellen VoIP-TDM Gateways UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 26

27 Preis-Niveau Kleine Umgebungen bis zu 100 Sessions pro Standort $4,000 to $10,000 Mittlere Umgebungen mehr als 100 bis zu 1000 Sessions pro Standort $20,000 to $60,000 Große Umgebungen mehr als 1000 Sessions pro Standort $75,000 to $300,000 (Quelle: Gartner ESBC Market Guide, 06/2014) UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 27

28 Hersteller / Produktbeispiele: Alcatel-Lucent (1) Alcatel-Lucent Elemente: OpenTouch Session Border Controller OpenTouch Edge Server OpenTouch Reverse Proxy Quelle: Alcatel-Lucent UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 28

29 Quelle: Avaya Hersteller / Produktbeispiele: Avaya (1) Der Avaya Session Border Controller for Enterprise (ASBCE) ist zwischen dem internen und externen Firewall positioniert und führt dort die für VoIP Kommunikation notwendigen Kontroll- und Schutz-Funktionen durch UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 29

30 Hersteller / Produktbeispiele: Unify (1) OpenScape SBC optimiert für den Einsatz als zentraler SBC in der OpenScape- Lösungsumgebung Standort: dieselbe "logische" Position wie der UC-Server, z.b. Kunden-RZ Verteilte SBC Funktionalität mit der OpenScape Branch Quelle: Unify Funktionalität "i.w." identisch mit OSc SBC, jedoch weniger Sessions UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 30

31 Hersteller / Produktbeispiele: Cisco (1) Funktionsbereiche Demarkations- Punkt Mobile SIP TRUNK TO CUBE CUBE Cisco B2B Session Kontrolle IM, Presence, Voic ?? Cisco Session Management Video SIP Interoperabilität Sicherheit 3 rd Party IP PBX TDM PBX Quelle: Cisco UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 31

32 Fazit All-IP erfordert den Einsatz eines SBCs am Unternehmens-Perimeter Es ist nicht zu erwarten, dass klassische Firewall-Hersteller die Funktionalität eines Session Border Controllers adaptieren Die meisten etablierten TK/UC-Hersteller haben inzwischen einen oder mehrere eigene SBCs, die sie speziell auf ihre Produktwelt anpassen. Entsprechende Produktevaluierung gehört somit zur Gesamtplanung einer TK/UC- Lösung Enterprise SBCs und Provider SBCs haben unterschiedliche Funktionsbereiche und bilden separate Märkte Der "freie" SBC Markt ist nicht sonderlich stark ausgeprägt (abgesehen von AudioCodes, Sonus und Genband) UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 32

33 Abkürzungen ACM AD ANSI ASBCE B2BUA BFCP BPO CALEA CDR CN CNG CRC DHCP DMZ DNS DPNSS DTMF ETSI FW GW GSSCP IBCF ICE IETF IMAC IMS Avaya Communication Manager Active Directory American National Standards Institute Avaya Session Border Controller for Enterprise Back to Back User Agent Binary Flow Control Protocol Business Process Outsourcing Communications Assistance for Law Enforcement Act Call Detail Record(ing) Core Network, Corporate Network Customer Network Gateway Cyclic Redundancy Check Dynamic Host Configuration Protocol Demilitarized Zone Domain Name Service Digital Private network Signalling System Dual Tone Multifrequency European Telecommunication Standards Institute Firewall Gateway Global SP SIP Compliance Program (Avaya) Interconnection Border Control Function Interactive Connectivity Establishment Internet Engineering Task Force Installation, Moves, Adds and Changes IP Multimedia Subsystem UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 33

34 Abkürzungen IP IPVTL ISDN ISUP ITSP ITU-T LB MGC MSRP MTU NASS NAT NGCN NGN NP NIU OSB OSS OVA PBX PCRF PGW PRI PSTN QSIG QoS RACS RFC ROI RTCP RTP Internet Protocol IP Video Transcoding Live! Integrated Services Digital Network ISDN User Part of SS7 Internet Telephony Service Provider International Telecommunication Union for Telecommunication Standards Load Balancing Media Gateway Controller Message Session Relay Protocol Maximum Transmission Unit Network Attachment Subsystem Network Address Translation Next Generation Corporate Network Next Generation Network Network Processor Network Interface Unit OpenScape Branch Operational Support System Open Virtual Appliance Private Branch exchange Policy Charging and Rules Function PSTN Gateway (Cisco) Primary Rate Interface Public Switched Telephony Network Q-interface SIGnalling protocol; Quer-Signalling Quality of Service Resource and Administration Control Subsystem Request for Comment Return on Investment RTP Control Protocol Real-Time Transport Protocol UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 34

35 Abkürzungen SBC SDP SIP SIP-I SP-SSE SRTP STUN TCP TDoS TFTP TISPAN TLS TURN UC UHA URI VPN Session Border Controller Session Description Protocol Session Initiation Protocol SIP with encapsulated ISUP Service Provider SIP Signalling Entity Secure Rela Time Protocol Session Traversal of UDP through NAT Transmission Control Protocol Telephony Denial of Service Trivial File Transfer Protocol Telecommunications and Internet converged Services and Protocols for Advanced Networking Transport Layer Security Traversal Using Relay NAT Unified Communications Ultra High Availability Universal Resource Identificator Virtual Private Network UBN Petra Borowka-Gatzweiler Session Border Controller - Seite 35