Session Border Controller: Architektur- und Design-Konzepte. Dominik Zöller,

Transkript

1 Session Border Controller: Architektur- und Design-Konzepte Dominik Zöller,

2 Übersicht Zentral vs. dezentral Referenzarchitekturen für SBCs SBCs als zentrale Routing-Instanz - Anschaltung von herstellereigenen Lösungen und Third-Party-Produkten? Firewall Bypass vs. Firewall Traversal Wie sieht ein SBC-Design nach BSI TLSTK 2.0 aus? 1

3 Übersicht Zentral vs. dezentral Referenzarchitekturen für SBCs SBCs als zentrale Routing-Instanz - Anschaltung von herstellereigenen Lösungen und Third-Party-Produkten? Firewall Bypass vs. Firewall Traversal Wie sieht ein SBC-Design nach BSI TLSTK 2.0 aus? 2

4 Amtsanbindung mit ISDN und SIP Organisationsinternes Netz IP-Netz IP-PBX Gateway PSTN VoIP ISDN Organisationsinternes Netz ITSP IP-Netz Internet bzw. Provider IP-PBX SBC IP-Netz SBC Gateway PSTN VoIP ISDN 3

5 SBC-Architektur verbreitete Ausgangssituation auf ISDN-Basis Standort WAN-Router Branch- Appliance RZ 1 PC-Client IP-Phone WAN-Router Standort WAN-Router WAN ISDN-IP-GW TK-Server Anwendungs-Server PC-Client IP-Phone Branch- Appliance PC-Client IP-Phone RZ 2 Standort PSTN (ISDN) WAN-Router ISDN-IP-GW TK-Server Anwendungs-Server WAN-Router Branch- Appliance PC-Client IP-Phone 4

6 Grundsatzfrage SIP-Trunking Zentrale oder dezentrale Breakouts? Standort WAN-Router Branch- Appliance / SBC RZ 1 PC-Client IP-Phone WAN-Router Standort WAN-Router WAN SBC UC-Server Anwendungs-Server PC-Client IP-Phone Branch- Appliance / SBC PC-Client RZ 2 IP-Phone Standort PTN (SIP) WAN-Router SBC UC-Server Anwendungs-Server WAN-Router Branch- Appliance / SBC PC-Client IP-Phone 5

7 Grundsatzfrage SIP-Trunking Zentrale oder dezentrale Breakouts? Standort WAN-Router SBC RZ 1 PC-Client IP-Phone WAN-Router Standort SBC UC-Server Anwendungs-Server WAN-Router SBC WAN PC-Client IP-Phone PC-Client IP-Phone RZ 2 Standort WAN-Router PTN (SIP) WAN-Router SBC UC-Server Anwendungs-Server SBC PC-Client IP-Phone 6

8 Zentraler Breakout vs. dezentraler Breakout Architektur Anbindung WAN-Traffic ISDN SIP zentral SIP dezentral Dezentral, in Kombination mit IP Survivability möglich Lokale S0/S2M- Anbindung Nur intern bzw. zum zentralen Breakout Zentraler Amtsübergang Über existierenden WAN- Link, über Internetanbindung oder über sep. Physik VoIP-Traffic immer über Zentrale (Stern) Dezentrale Amtsübergänge Über dezentrale Internetanbindung oder über sep. Physik Nur interner Traffic über das WAN (any-to-any) SBC N/A Zentraler Cluster Dezentrale SBC je Standort (+ Zentrale) Schutzniveau Mittel (standortübergreifender Traffic unverschlüsselt, mittlere Verfügbarkeit) Hoch (interner Traffic vollst. verschlüsselt, hohe Verfügbarkeit preiswert realisierbar) Komplexität Mittel Mittel Hoch Kosten Hoch (IP-ISDN- Gateways, Ggf. WAN- Kosten für intern) Moderat (Zentraler SBC- Cluster, erhöhte WAN- Kosten für Zentralanbindung) Sehr hoch (interner Traffic vollst. verschlüsselt, hohe Verfügbarkeit unabh. Von Zentrale realisierbar, Topology Hiding je Standort) Sehr hoch (Dezentrale SBC, zus. Standortanbindung, Ggf. WAN-Kosten für intern) 7

9 Dezentrale Breakouts ein Skalierungsproblem! Konzept mit rein dezentralen Breakouts bedarf der Abwärtsskalierung Problem: die meisten SBC-Hersteller (und UC-Hersteller) favorisieren leistungsstarke SBCs kleine Skalierungseinheiten sind komplett out-of-scope Wie viele Standorte haben Sie mit weniger als 3 Primärmultiplexern? Lösungsansatz: in Branch Appliances integrierte SBC-Funktionalität?! Hersteller Oracle (Acme Packet) AudioCodes GENBAND Produkt Registrierte SIP/TLS Endpoints Signaled Sessions Media Sessions SRTP Streams Transcoding Serie B Virtual Edition Q Q Q

10 Übersicht Zentral vs. dezentral Referenzarchitekturen für SBCs SBCs als zentrale Routing-Instanz - Anschaltung von herstellereigenen Lösungen und Third-Party-Produkten? Firewall Bypass vs. Firewall Traversal Wie sieht ein SBC-Design nach BSI TLSTK 2.0 aus? 9

11 SBC als zentrale Routing-Instanz Klassische Vorgehensweise IP-Migration Sanfte Migration des ISDN-basierten Bestandssystems RZ A S 2M S 2M RZ B IP-ISDN-GW IP-ISDN-GW S 2M S 2M UC-System Bestandssystem Bestandssystem 10

12 SBC als zentrale Routing-Instanz Vorgehensweise All-IP-Migration (1) Sanfte Migration zu IP-basiertem Anlagenanschluss 11

13 SBC als zentrale Routing-Instanz Vorgehensweise All-IP-Migration (2) Sanfte Migration zu IP-basiertem Anlagenanschluss RZ A SIP SIP RZ B S 2M IP-ISDN-GW SBC SBC IP-ISDN-GW S 2M UC-System Bestandssystem Bestandssystem 12

14 SBC als zentrale Routing-Instanz Vorgehensweise All-IP-Migration (3) Sanfte Migration zu IP-basiertem Anlagenanschluss RZ A SIP SIP RZ B SIP SBC SBC SIP UC-System Bestandssystem Bestandssystem 13

15 SBC als zentrale Routing-Instanz Normalisierung in Multivendor-Szenarien Legacy PSTN / NGN Multivendor SIP SIP IP-ISDN-GW Routing Layer IP-PBX A Bestandssystem SBC SBC UC-System IP-PBX B 14

16 Alternative herstellerspezifisches Routing-Layer SBC als reiner Amtsabschluss PSTN / NGN Access Layer SBC SBC Legacy SIP SIP Routing Layer UC-System SIP prop. IP-GW UC-System UC-System UC-System Bestandssystem 15

17 Zentrales Routing Layer herstellerspezifische vs. herstellerneutrale SBC Architektur Herstellerspezifisches Routing-Layer (z.b. Cisco UCM SME, Unify OSV, etc.) Zentrales Routing-Layer, separates SBC- Layer für Amtsanbindung Herstellerneutral Nein Ja Flexibilität Mittel (einfache Hinzunahme von Standorten, flexibles Routing, Eingeschränkte Auswahl von CODECs und Protokollen) Kosten Moderat Moderat Interoperabilität Gering Sehr hoch Session Border Controller als zentrales Routing Layer Zentrale Routing-Instanz, gleichzeitig Amtsabschluss Hoch (einfache Hinzunahme von Standorten, flexibles Routing, breite Unterstützung von CODECs und Protokollen) Funktionalität Hoch (innerhalb Hersteller-Ökosystem) Niedrig (wenige übergreifende Leistungsmerkmale) Management Ja (meistens) Nein (separates Management) RNP-Verwaltung Einheitlich, zentral Dezentral PTN-Breakout Zentral oder dezentral Vorzugsweise zentral Empfohlen bei Große und sehr große Single-Vendor-Szenarien Mittlere bis sehr große Multivendor- Szenarien 16

18 Übersicht Zentral vs. dezentral Referenzarchitekturen für SBCs SBCs als zentrale Routing-Instanz - Anschaltung von herstellereigenen Lösungen und Third-Party-Produkten? Firewall Bypass vs. Firewall Traversal Wie sieht ein SBC-Design nach BSI TLSTK 2.0 aus? 17

19 SBC-Architektur Firewall Bypass vs. Firewall Traversal Welche Deployment-Varianten gibt es? Je nach erfordertem Schutzniveau gibt es Varianten ohne oder mit einer/zwei Firewalls Gehärtete SBC können direkt mit dem Internet/unsicheren Netz verbunden werden Alle vorgestellten Varianten haben jeweils Vor- und Nachteile in Bezug auf Sicherheit Flexibilität Performance Kosten 18

20 DMZ-Konfiguration (klassisch) Eigenschaften: SBC befindet sich in der DMZ der Firewall Ist nur über ein Interface mit Firewall verbunden Firewall benötigt mindestens drei Netzwerkanschlüsse (WAN, LAN, DMZ / SBC) Alle SIP-Funktionen der Firewall müssen deaktiviert sein SIP- RTP-Pakete müssen direkt zum SBC weitergeleitet werden Traffic auf Port 5060 (SIP)/5061 (TLS) und RTP Vorteil(e): Sicher, da die Daten durch die Firewall und den SBC gehen Flexibel, weil so alle Netzwerke, die mit der Firewall verbunden sind, SIP-enabled werden Nachteil(e): Die Daten müssen zwei mal durch die Firewall Firewall als Bottleneck schlecht für die Performance 19

21 Exkurs: Bottleneck Firewall und IPS Performance-Engpässe am Beispiel IPS 250 One-Way-Delay einer Datenkommunikation auf Segment 1 eines IPS in Abhängigkeit zur Auslastung eines benachbarten zweiten Segments des IPS Delay (ms) x x x x 100 Paketverluste Volllast 50% Last 0% Last Zeit (s) 20

22 DMZ-Konfiguration (klassisch) mit zweistufiger Firewall Eigenschaften: Die erste Firewall trennt das unsichere Netz von der DMZ, die zweite Firewall die DMZ vom sicheren Netz Im Idealfall Firewalls verschiedener Hersteller Vermeidung herstellerabhängiger Schwachstellen Vorteil(e): Das interne Netz ist gut geschützt Eine einzelne Schwachstelle kompromittiert nicht das interne Netz Bessere Performance als einstufige Firewall Nachteil(e): Höhere Kosten durch zwei Firewalls Höherer Administrationsaufwand Ggf. höhere Troubleshooting-Komplexität (zwei Hersteller) 21

23 Firewall-Traversal-Konfiguration Eigenschaften: Der SBC befindet sich an einem DMZ-Interface der Firewall Das zweite Interface des SBC ist mit dem internen Netzwerk verbunden Auch hier müssen alle SIP-Funktionen der Firewall deaktiviert sein SIP- und RTP-Pakete müssen direkt zum SBC weitergeleitet werden Vorteil(e): Der Datendurchsatz wird erhöht, da die Daten nur einmal die Firewall durchqueren müssen Nachteil(e): Abweichungen in Regelwerken für zwei Pfade möglich Sicherheitskurzschluss Firewall als Bottleneck 22

24 Firewall-Bypass-Konfiguration Eigenschaften: Der SBC ist direkt mit dem internen und dem externen Netz verbunden Nur zu empfehlen, wenn die Firewall nicht die nötige Performance hat Die SIP-Daten müssen getrennt von anderen Traffic an den SBC geleitet werden Separate WAN-Verbindung für SIP oder ein VLAN für SIP-Daten und ein weiteres für die die restlichen Daten (http, ) Vorteil(e): Keine zusätzlichen Anforderungen an die Firewall (Funktionalität, Anschlüsse, Performance) Nachteil(e): Geringeres Sicherheitsniveau Sicherheitskurzschluss by Design Schutzniveau bestimmt sich aus dem schwächsten Element Firewall-Policy ggf. auf SBC nicht realisierbar 23

25 Firewall-Bypass-Konfiguration mit zweistufiger Firewall Eigenschaften: SBC ist mit direkt mit dem unsicheren Netz verbunden Setz voraus, dass SBC besonders gehärtet ist SIP-/RTP-Daten müssen getrennt von sonstigem Traffic an den SBC geleitet werden Im Gegensatz zur reinen Bypass- Lösung werden Datenströme durch eine zweite Firewall geführt Vorteil(e): Erhöhtes Schutzniveau Entlastung der Edge-Firewall im Vergleich zur zweistufigen DMZ-Variante Nachteil(e): Der SBC muss gehärtet sein, sonst kommt es zu Sicherheitsproblemen 24

26 Übersicht Zentral vs. dezentral Referenzarchitekturen für SBCs SBCs als zentrale Routing-Instanz - Anschaltung von herstellereigenen Lösungen und Third-Party-Produkten? Firewall Bypass vs. Firewall Traversal Wie sieht ein SBC-Design nach BSI TLSTK 2.0 aus? 25

27 Zielarchitektur groß : Energieversorger 26

28 Zielarchitektur groß : Großklinikum 27

29 Zielarchitektur sehr groß : Großkonzern 28

30 Zielarchitektur sehr groß : Großkonzern (Detail) 29

31 Fazit Session Border Controller sind aus einem All-IP-Szenario nicht wegzudenken. Von der Architektur hängen maßgeblich Schutzniveau, Komplexität, und Kosten ab. Ein zentrales SBC-Design empfiehlt sich in Hinblick auf Kosten und Flexibilität. Zentrale SBC-Architekturen eignen sich sehr gut als zentrale Routing-Instanz. In Single-Vendor-Szenarien sind herstellerspezifische Lösungen ggf. leistungsfähiger. Jede SBC-Installation muss sich sinnvoll ins Firewall-Konzept (und allg. Security- Konzept) einfügen. Integrationskonzept abhängig von Anwendungsfall und Budget Zweistufige Konzepte (DMZ und Firewall-Bypass) bieten höchste Sicherheit Das durch das BSI für den erhöhten Schutzbedarf empfohlene Konzept ist ein hochverfügbares, dezentrales DMZ-Konzept (gerne auch zweistufig). 30

32 Gemeinsame Ziele verbinden ComConsult Beratung und Planung GmbH Pascalstraße 27, Aachen, Deutschland Telefon: Fax: Web: ComConsult Beratung und Planung GmbH, 10. November 2015

33 Skalierung von Session Border Controllern (1) Hersteller Oracle (Acme Packet) Alcatel-Lucent Produkt Registrierte SIP/TLS Endpoints Signaled Sessions Media Sessions SRTP Streams Transcoding Serie Server Edition Virtual Edition High End Virtual Edition Low End AudioCodes Avaya B Virtual Edition Dell R210II XL Vmware

34 Skalierung von Session Border Controllern (2) Hersteller Produkt Registrierte SIP/TLS Endpoints Signaled Sessions Media Sessions SRTP Streams Transcoding Cisco 5Gbps ASR 1001 integrated ESP Gbps ASR 1002-X integrated ESP Gbps ASR 1000 ESP Gbps ASR 1000 ESP Gbps ASR 1000 ESP Gbps ASR 1000 ESP GENBAND Q Q Q Ingate Systems SIParator S SIParator S SIParator S SIParator S SIParator S TE-Systems anynode bis 1000 Unify IBM x3250 M IBM x3250 M IBM x3550 M3/M4 oder Fujitsu RX200 S6/S