DNS, öffentliche IP und Firewall für den SBC

Wozu dient das

Microsoft baut den SIP-Trunk aus seinem Netz zum SBC auf. Dafür muss der SBC unter einem öffentlichen Namen und einer öffentlichen Adresse erreichbar sein, und die Firewall muss Signalisierung und Sprache durchlassen. Die meisten Fehler bei der Inbetriebnahme entstehen an dieser Stelle, nicht in EasyUC.

Dieses Kapitel fasst zusammen, was Sie im DNS, an Router und Firewall und im Microsoft-365-Tenant vorbereiten, bevor Sie in EasyUC den ersten Tenant anlegen. Die Portnummern sind die Vorgaben von EasyUC. Weichen Ihre Einstellungen ab, gelten die Werte der SBC-Seite.

Der SBC nimmt SIP nur über TLS mit gegenseitiger Zertifikatsprüfung an und Sprache nur als SRTP. Media Bypass verwendet er nicht: Die Sprache läuft immer zwischen Microsoft und dem SBC.

Voraussetzungen

• Zugriff auf die öffentliche DNS-Zone der Kundendomain.
• Zugriff auf Firewall und NAT vor dem EasyUC-Server.
• Eine feste öffentliche IPv4-Adresse für den SBC.
• Ein Administrator des Microsoft-365-Tenants, der die Domain dort verifizieren kann.
• Der EasyUC-Server hat ausgehend Zugang zu Microsoft, zu Let’s Encrypt und zu öffentlichem DNS.

Schritt für Schritt

1. Legen Sie je Tenant einen Hostnamen in der Domain des Kunden fest, zum Beispiel sbc.kunde.de.
2. Legen Sie in der öffentlichen DNS-Zone einen A-Record für diesen Hostnamen auf die öffentliche IP des SBC an.
3. Prüfen Sie im Microsoft-365-Administrationsbereich unter Einstellungen → Domänen, dass die Domain des Hostnamens im Tenant des Kunden verifiziert ist. Für sbc.kunde.de ist das kunde.de. Für einen Namen mit zwei Unterdomänen wie sbc.voice.kunde.de muss genau voice.kunde.de eingetragen sein.
4. Richten Sie für die öffentliche IP ein 1:1-NAT auf den EasyUC-Server ein oder vergeben Sie die Adresse direkt am Server.
5. Geben Sie eingehend TCP auf dem TLS-Port des Tenants frei, Vorgabe 5061, mit den Quellnetzen 52.112.0.0/14 und 52.120.0.0/14.
6. Geben Sie eingehend UDP auf dem RTP-Bereich frei, Vorgabe 20000 bis 20999, mit denselben Quellnetzen.
7. Erlauben Sie ausgehend TCP 5061 zu Microsoft. Der SBC schickt selbst OPTIONS an sip.pstnhub.microsoft.com.
8. Erlauben Sie ausgehend UDP aus dem RTP-Bereich zu den Microsoft-Netzen.
9. Erlauben Sie dem EasyUC-Server ausgehend HTTPS zu Let’s Encrypt, zu Microsoft Graph und zur Microsoft-Anmeldung. Für die automatische Erneuerung zusätzlich zur Cloudflare-API.
10. Tragen Sie die Werte in EasyUC unter SBC-Einrichtung ein: äußere Adresse unter Öffentliche IP, interne Adresse des Servers unter Media-IP.
11. Für jeden weiteren Tenant geben Sie dessen TLS-Port zusätzlich frei. Er steht in der Tenant-Liste hinter dem Hostnamen.

Felder und Optionen

Ergebnis prüfen und Fehler eingrenzen

• Erfolg: Der Hostname löst von außen auf die öffentliche IP auf. Nach Zertifikat und Trunk-Einrichtung zeigt die Tenant-Seite unter Letztes OPTIONS eine aktuelle Uhrzeit.
• Prüfung von außen: Ein TLS-Verbindungsaufbau zum Hostnamen auf dem TLS-Port muss das Zertifikat samt Zwischenzertifikat liefern. Der Port öffnet erst, wenn die öffentliche IP gepflegt, das Zertifikat ausgestellt und der Tenant aktiv ist.
• Trunk gestört, keine OPTIONS von Microsoft: Microsoft beginnt erst, wenn die OPTIONS des SBC dort ankommen. Prüfen Sie ausgehend TCP 5061 und eingehend den TLS-Port.
• Gespräch kommt zustande, aber kein Ton: Die öffentliche IP ist falsch oder der UDP-Bereich ist nicht freigegeben.
• Ton nur bei manchen Anrufen: Der RTP-Bereich überschneidet sich mit einem anderen Dienst. EasyUC lehnt solche Bereiche beim Speichern ab; prüfen Sie die Meldung auf der SBC-Seite.
• „Microsoft kennt die Domain dieses SBC-Namens in diesem Tenant nicht.“ Die Domain ist im Microsoft-365-Tenant nicht verifiziert.
• „Die öffentliche IP muss aus dem Internet erreichbar sein; … liegt in einem privaten oder reservierten Bereich.“ Tragen Sie die äußere Adresse ein.