controlador de borde de sesión

Un controlador de borde de sesión ( SBC ) es un elemento de red implementado para proteger las redes VoIP basadas en SIP . ^{[ 1 ]}

Las primeras implementaciones de SBC se centraron en los límites entre las redes de dos proveedores de servicios en un entorno de interconexión. Desde entonces, esta función se ha ampliado para incluir implementaciones significativas entre la red de acceso de un proveedor de servicios y su red troncal, proporcionando servicio a clientes residenciales y/o empresariales. ^{[ 2 ]}

El término «sesión» se refiere a una comunicación entre dos o más partes; en el contexto de la telefonía, esto sería una llamada. Cada llamada consta de uno o más intercambios de mensajes de señalización que controlan la llamada, y uno o más flujos de medios que transportan el audio, el vídeo u otros datos de la llamada, junto con información sobre las estadísticas y la calidad de la misma. En conjunto, estos flujos conforman una sesión. La función de un controlador de borde de sesión es influir en los flujos de datos de las sesiones.

El término "frontera" se refiere al punto de demarcación entre una parte de una red y otra. Por ejemplo, en el perímetro de una red corporativa, un cortafuegos delimita la red local (dentro de la empresa) del resto de Internet (fuera de la empresa). Un ejemplo más complejo es el de una gran corporación donde los distintos departamentos tienen necesidades de seguridad específicas para cada ubicación y, posiblemente, para cada tipo de datos. En este caso, se utilizan enrutadores de filtrado u otros elementos de red para controlar el flujo de datos. La función de un controlador de borde de sesión es ayudar a los administradores de políticas a gestionar el flujo de datos de sesión a través de estas fronteras.

El término «controlador» se refiere a la influencia que ejercen los controladores de borde de sesión sobre los flujos de datos que componen las sesiones, a medida que estos atraviesan los límites entre diferentes partes de una red. Además, los controladores de borde de sesión suelen proporcionar funciones de medición, control de acceso y conversión de datos para las llamadas que gestionan.

Los SBC suelen mantener el estado completo de la sesión y ofrecen las siguientes funciones:

• Seguridad : proteja la red y otros dispositivos de:
  • Ataques maliciosos como un ataque de denegación de servicio (DoS) o un DoS distribuido
  • Fraude telefónico a través de medios de comunicación fraudulentos
  • Protección de paquetes mal formada
  • Cifrado de la señalización (mediante TLS e IPSec ) y de los medios ( SRTP ).
• Conectividad: permite que diferentes partes de la red se comuniquen mediante el uso de diversas técnicas, tales como:
  • Recorrido NAT
  • Normalización SIP mediante manipulación de mensajes y encabezados SIP.
  • Interconexión de IPv4 a IPv6
  • conectividad VPN
  • Traducciones de protocolos entre SIP , SIP-I y H.323
• Calidad de servicio : la política de QoS de una red y la priorización de flujos generalmente la implementa el SBC. Puede incluir funciones como:
  • Vigilancia del tráfico
  • Asignación de recursos
  • limitación de velocidad
  • Control de admisión de llamadas
  • Configuración de bits ToS / DSCP
• Normativa: en muchas ocasiones se espera que la SBC proporcione apoyo para los requisitos normativos, tales como:
  • priorización de llamadas de emergencia y
  • interceptación legal
• Servicios multimedia: muchos de los SBC de nueva generación también proporcionan procesadores de señal digital (DSP) integrados para permitirles ofrecer control multimedia basado en fronteras y servicios tales como:
  • Retransmisión DTMF e interoperabilidad
  • Transcodificación de medios
  • Tonos y anuncios
  • Interconexión de datos y fax
  • Compatibilidad con llamadas de voz y vídeo
• Estadísticas e información de facturación: dado que todas las sesiones que pasan por el borde de la red pasan por el SBC, es lógico recopilar estadísticas e información basada en el uso de estas sesiones.

Con la llegada de WebRTC, algunos SBC también han asumido el rol de puerta de enlace SIP a WebRTC y traducen SIP. Si bien las especificaciones de WebRTC no imponen ningún protocolo de señalización en particular, ^{[ 3 ]} SIP sobre WebSockets (RFC 7118) se usa con frecuencia, en parte debido a la aplicabilidad de SIP a la mayoría de los escenarios de comunicación previstos, así como a la disponibilidad de software de código abierto como JsSIP . En tal caso, el SBC actúa como una puerta de enlace entre las aplicaciones WebRTC y los puntos finales SIP.

Los SBC se insertan en las rutas de señalización y/o medios entre las partes que realizan la llamada y las que son llamadas en una llamada VoIP, principalmente aquellas que utilizan los protocolos de señalización de llamadas Session Initiation Protocol (SIP), H.323 y MGCP .

En muchos casos, el SBC oculta la topología de red y protege las redes de paquetes del proveedor de servicios o de la empresa. El SBC finaliza una llamada entrante e inicia la segunda parte de la llamada hacia el destinatario. En términos técnicos, cuando se utiliza con el protocolo SIP, esto define un agente de usuario de extremo a extremo (B2BUA). El efecto de este comportamiento es que no solo el tráfico de señalización, sino también el tráfico multimedia (voz, vídeo) está controlado por el SBC. En los casos en que el SBC no tiene la capacidad de proporcionar servicios multimedia, también puede redirigir el tráfico multimedia a otro elemento en la red para grabación, generación de música en espera u otros fines relacionados con los medios. Por el contrario, sin un SBC, el tráfico multimedia viaja directamente entre los extremos, sin que los elementos de señalización de llamadas de la red controlen su ruta.

En otros casos, el SBC simplemente modifica el flujo de datos de control de llamadas (señalización) involucrado en cada llamada, lo que puede limitar los tipos de llamadas que se pueden realizar, cambiar las opciones de códec , etc. En definitiva, los SBC permiten a los operadores de red gestionar las llamadas que se realizan en sus redes, corregir o cambiar protocolos y su sintaxis para lograr la interoperabilidad, y también superar algunos de los problemas que presentan los firewalls y los traductores de direcciones de red (NAT) para las llamadas VoIP.

Para mostrar el funcionamiento de un SBC, se puede comparar una secuencia simple de establecimiento de llamada con una secuencia de establecimiento de llamada con un SBC. ^{[ 4 ]} En la secuencia de establecimiento de sesión más simple con un solo proxy entre los agentes de usuario, la tarea del proxy es identificar la ubicación del destinatario y reenviarle la solicitud. El proxy también agrega un encabezado Via con su propia dirección para indicar la ruta que debe seguir la respuesta. El proxy no cambia ninguna información de identificación de diálogo presente en el mensaje, como la etiqueta en el encabezado From, el Call-Id o el Cseq. Los proxies tampoco alteran ninguna información en los cuerpos de los mensajes SIP. Nótese que durante la fase de inicio de sesión, los agentes de usuario intercambian mensajes SIP con cuerpos SDP que incluyen direcciones en las que los agentes esperan el tráfico multimedia. Después de finalizar con éxito la fase de inicio de sesión, los agentes de usuario pueden intercambiar el tráfico multimedia directamente entre sí sin la intervención del proxy.

Los SBC están diseñados para diversas aplicaciones y son utilizados por operadores y empresas para alcanzar distintos objetivos. Incluso una misma implementación de SBC puede comportarse de manera diferente según su configuración y el caso de uso. Por lo tanto, no es fácil describir un comportamiento exacto de un SBC que se aplique a todas las implementaciones. En general, es posible identificar ciertas características comunes a los SBC. Por ejemplo, la mayoría de los SBC se implementan como agentes de usuario de extremo a extremo (B2BUA). Un B2BUA es un servidor tipo proxy que divide una transacción SIP en dos tramos de llamada: en el lado que se dirige al cliente agente de usuario (UAC), actúa como servidor; en el lado que se dirige al servidor agente de usuario (UAS), actúa como cliente. Mientras que un proxy generalmente solo conserva información de estado relacionada con transacciones activas, los B2BUA conservan información de estado sobre diálogos activos, como llamadas. Es decir, una vez que un proxy recibe una solicitud SIP, guarda cierta información de estado. Una vez finalizada la transacción, por ejemplo, tras recibir una respuesta, la información de estado se elimina poco después. Un B2BUA mantendrá información sobre el estado de las llamadas activas y solo eliminará esta información una vez que la llamada haya finalizado.

Cuando un SBC se incluye en la ruta de llamada, actúa como un B2BUA que se comporta como servidor de agente de usuario para el emisor y como cliente de agente de usuario para el receptor. En este sentido, el SBC finaliza la llamada generada por el emisor e inicia una nueva llamada hacia el receptor. El mensaje INVITE enviado por el SBC ya no contiene una referencia clara al emisor. El INVITE enviado por el SBC al proxy incluye encabezados Via y Contact que apuntan al propio SBC y no al emisor. Los SBC también suelen manipular la información de identificación del diálogo que aparece en las etiquetas Call-Id y From. Además, si el SBC está configurado para controlar también el tráfico multimedia, modifica la información de direccionamiento multimedia incluida en las líneas c y m del cuerpo SDP. De este modo, no solo todos los mensajes SIP, sino también todos los paquetes de audio y vídeo, pasarán por el SBC. Cuando el SBC envía un mensaje INVITE para establecer un nuevo diálogo, también manipula el número de secuencia del mensaje (CSeq) y el valor Max-Forwards. Cabe destacar que la lista de manipulaciones de encabezado que se muestra aquí es solo una parte de los posibles cambios que un SBC puede introducir en un mensaje SIP. Además, algunos SBC podrían no realizar todas las manipulaciones enumeradas. Si no se espera que el SBC controle el tráfico multimedia, es posible que no sea necesario modificar nada en el cuerpo del SDP. Algunos SBC no modifican la información de identificación del diálogo, e incluso otros podrían no modificar la información de direccionamiento.

Las SBC suelen ser utilizadas por las empresas junto con firewalls y sistemas de prevención de intrusiones (IPS) para habilitar llamadas VoIP hacia y desde una red empresarial protegida. Los proveedores de servicios VoIP utilizan SBC para permitir el uso de protocolos VoIP desde redes privadas con conexiones a Internet mediante NAT, y también para implementar medidas de seguridad robustas necesarias para mantener una alta calidad de servicio. Las SBC también reemplazan la función de las pasarelas de nivel de aplicación . ^{[ 5 ]} En empresas más grandes, las SBC también pueden utilizarse junto con troncales SIP para proporcionar control de llamadas y tomar decisiones de enrutamiento/política sobre cómo se enrutan las llamadas a través de la LAN/WAN. A menudo se obtienen enormes ahorros de costos asociados con el enrutamiento del tráfico a través de las redes IP internas de una empresa, en lugar de enrutar las llamadas a través de una red telefónica tradicional de conmutación de circuitos.

Además, algunos SBC permiten establecer llamadas VoIP entre dos teléfonos utilizando diferentes protocolos de señalización VoIP (por ejemplo, SIP, H.323, Megaco /MGCP), así como realizar la transcodificación del flujo multimedia cuando se utilizan diferentes códecs. La mayoría de los SBC también ofrecen funciones de firewall para el tráfico VoIP ( protección contra ataques de denegación de servicio , filtrado de llamadas, gestión de ancho de banda). La normalización de protocolos y la manipulación de encabezados también suelen ser funciones que ofrecen los SBC, lo que permite la comunicación entre diferentes proveedores y redes.

Desde la perspectiva de la arquitectura del subsistema multimedia IP (IMS) o 3GPP ( Proyecto de Asociación de Tercera Generación ), el SBC es la integración del P-CSCF y el IMS- ALG en el plano de señalización y la puerta de enlace de acceso IMS en el plano de medios en el lado de acceso. En el lado de interconexión, el SBC se corresponde con el IBCF y el IWF en el plano de señalización y el TrGW (Puerta de Enlace de Transición) en el plano de medios.

Desde la perspectiva de la arquitectura IMS/ TISPAN , el SBC integra las funciones P- CSCF y C-BGF en el lado de acceso, y las funciones IBCF, IWF, THIG e I-BGF en el lado de interconexión. Algunos SBC pueden "descomponerse", lo que significa que las funciones de señalización pueden ubicarse en una plataforma de hardware separada de las funciones de retransmisión de medios; en otras palabras, el P-CSCF puede separarse del C-BGF, o el IBCF/IWF puede separarse físicamente de las funciones I-BGF. La plataforma de señalización puede utilizar protocolos basados ​​en estándares, como el perfil H.248 Ia, para controlar la plataforma de medios, mientras que algunos SBC utilizan protocolos propietarios.

Durante sus inicios, el concepto de SBC fue controvertido para los defensores de los sistemas de extremo a extremo y las redes peer-to-peer porque:

• Los SBC pueden extender significativamente la longitud de la ruta de medios (el recorrido de los paquetes de medios a través de la red). Una ruta de medios larga es indeseable, ya que aumenta la latencia de los paquetes de voz y la probabilidad de pérdida de paquetes. Ambos efectos deterioran la calidad de voz/vídeo. Sin embargo, a menudo existen obstáculos para la comunicación, como cortafuegos entre los participantes de la llamada, y en estos casos los SBC ofrecen un método eficiente para guiar los flujos de medios hacia una ruta aceptable entre el emisor y el receptor; sin el SBC, los medios de la llamada se bloquearían. Algunos SBC pueden detectar si los extremos de la llamada se encuentran en la misma subred y liberar el control de los medios, permitiendo que fluyan directamente entre los clientes; esto se conoce como antitromboning o liberación de medios. Además, algunos SBC pueden crear una ruta de medios donde de otro modo no existiría ninguna (debido a diversos cortafuegos y otros dispositivos de seguridad entre los dos puntos finales). Por último, para modelos de red VoIP específicos donde el proveedor de servicios es propietario de la red, los SBC pueden incluso reducir la ruta de medios mediante enfoques de enrutamiento de atajo. Por ejemplo, un proveedor de servicios que ofrece servicios de enlace troncal a varias empresas suele asignar una VPN a cada una. A menudo, es conveniente tener la opción de interconectar la VPN mediante SBC. Un SBC compatible con VPN puede realizar esta función en el borde de la red VPN, en lugar de enviar todo el tráfico al núcleo.
• Los SBC pueden restringir el flujo de información entre los terminales de llamada, lo que podría reducir la transparencia de extremo a extremo. Es posible que los teléfonos VoIP no puedan usar las nuevas funciones del protocolo a menos que el SBC las reconozca. Sin embargo, los SBC suelen ser capaces de gestionar la mayoría de las funciones de protocolo nuevas e imprevistas.
• En ocasiones, no se puede utilizar el cifrado de extremo a extremo si el SBC no dispone de la clave, aunque algunas partes del flujo de información en una llamada cifrada no estén cifradas y el SBC pueda utilizarlas e influir en ellas. Sin embargo, las nuevas generaciones de SBC, con suficiente capacidad de procesamiento, pueden descargar esta función de cifrado de otros elementos de la red mediante la terminación de SIP- TLS , IPsec y/o SRTP . Además, los SBC pueden, de hecho, hacer funcionar llamadas y otros escenarios SIP que antes no eran posibles, mediante la normalización o corrección de protocolos específicos.
• En la mayoría de los casos, la traducción de direcciones de red (NAT) remota o alojada se puede realizar sin SBC si los teléfonos VoIP admiten protocolos como STUN , TURN , ICE o Universal Plug and Play (UPnP).

La mayor parte de la controversia en torno a los SBC se centra en si el control de llamadas debe permanecer exclusivamente en manos de los dos terminales (al servicio de sus propietarios) o si, por el contrario, debe compartirse con otros elementos de red propiedad de las organizaciones que gestionan las diversas redes involucradas en la conexión de ambos terminales. Por ejemplo, ¿debería el control de llamadas permanecer en manos de Alice y Bob (los dos interlocutores) o compartirse con los operadores de todas las redes IP que conectan los teléfonos VoIP de Alice y Bob? El debate sobre este punto fue intenso, casi religioso. Quienes defendían un control absoluto solo en los terminales se veían profundamente frustrados por las realidades de las redes modernas, como los cortafuegos y el filtrado/limitación de ancho de banda. Por otro lado, los operadores de red suelen preocuparse por el rendimiento general de la red, la interoperabilidad y la calidad, y desean garantizar su seguridad.

La interceptación legal se rige en Estados Unidos por la Ley de Asistencia en Comunicaciones para la Aplicación de la Ley (CALEA, por sus siglas en inglés).

Un SBC puede proporcionar servicios de interceptación de sesiones (generalmente RTP ) y señalización (a menudo SIP ) , que los proveedores pueden utilizar para hacer cumplir las solicitudes de interceptación legal de sesiones de red. ATIS , TIA , CableLabs y ETSI , entre otros, proporcionan estándares para la interceptación de dichos servicios .

Según Jonathan Rosenberg, autor del RFC 3261 (SIP) y de numerosos otros RFC relacionados, Dynamicsoft desarrolló el primer SBC funcional en colaboración con Aravox, pero el producto nunca logró una cuota de mercado significativa. Newport Networks fue la primera en realizar una IPO en el AIM de la Bolsa de Valores de Londres en mayo de 2004 (NNG), mientras que Cisco cotiza en bolsa desde 1990. Acme Packet le siguió en octubre de 2006 al cotizar en el NASDAQ. Con el campo reducido por adquisiciones, NexTone se fusionó con Reefpoint para formar Nextpoint, que posteriormente fue adquirida en 2008 por Genband . En ese mismo momento, surgió el SBC "integrado", donde la función de control de borde se integró en otro dispositivo de borde. En 2009, el Firewall de Ingate Systems se convirtió en el primer SBC en obtener la certificación de ICSA Labs, un hito en la certificación de las capacidades de seguridad VoIP de un SBC.

El continuo crecimiento de las redes VoIP impulsa a los SBC hacia el extremo de la red, lo que exige una adaptación en capacidad y complejidad. A medida que la red VoIP crece y el volumen de tráfico aumenta, cada vez más sesiones pasan por los SBC. Los proveedores están abordando estos nuevos requisitos de escalabilidad de diversas maneras. Algunos han desarrollado sistemas de balanceo de carga independientes para ubicarlos delante de los clústeres de SBC. Otros han desarrollado nuevas arquitecturas utilizando chipsets de última generación que ofrecen SBC de mayor rendimiento y escalabilidad mediante tarjetas de servicio.

• Evolución a largo plazo (LTE) de 3GPP
• Cortafuegos (informática)
• H.323 Guardián de puerta
• Subsistema multimedia IP (IMS)
• Protocolo de inicio de sesión (SIP)
• Troncales SIP
• Sistema Universal de Telecomunicaciones Móviles (UMTS)