DNS, IP pública y firewall para el SBC

Para qué sirve

Microsoft establece el trunk SIP desde su red hasta el SBC. Para ello, el SBC debe ser accesible con un nombre público y una dirección pública, y el firewall debe dejar pasar la señalización y el audio. La mayoría de los errores durante la puesta en marcha se producen aquí, no en EasyUC.

Este capítulo resume lo que usted prepara en el DNS, en el router y el firewall y en el tenant de Microsoft 365 antes de crear el primer tenant en EasyUC. Los números de puerto son los valores predeterminados de EasyUC. Si su configuración es distinta, se aplican los valores de la página del SBC.

El SBC acepta SIP únicamente a través de TLS con verificación mutua de certificados y audio únicamente como SRTP. No utiliza media bypass: el audio siempre circula entre Microsoft y el SBC.

Requisitos previos

• Acceso a la zona DNS pública del dominio del cliente.
• Acceso al firewall y al NAT situados delante del servidor EasyUC.
• Una dirección IPv4 pública fija para el SBC.
• Un administrador del tenant de Microsoft 365 que pueda verificar allí el dominio.
• El servidor EasyUC tiene acceso saliente a Microsoft, a Let’s Encrypt y al DNS público.

Paso a paso

1. Para cada tenant, elija un nombre de host en el dominio del cliente, por ejemplo sbc.kunde.de.
2. En la zona DNS pública, cree un registro A para este nombre de host que apunte a la IP pública del SBC.
3. En el centro de administración de Microsoft 365, en Settings → Domains, compruebe que el dominio del nombre de host está verificado en el tenant del cliente. Para sbc.kunde.de es kunde.de. Para un nombre con dos niveles de subdominio, como sbc.voice.kunde.de, debe estar registrado exactamente voice.kunde.de.
4. Configure un NAT 1:1 desde la IP pública hacia el servidor EasyUC, o asigne la dirección directamente en el servidor.
5. Permita TCP entrante en el puerto TLS del tenant, por defecto 5061, desde las redes de origen 52.112.0.0/14 y 52.120.0.0/14.
6. Permita UDP entrante en el rango RTP, por defecto 20000 a 20999, desde las mismas redes de origen.
7. Permita TCP saliente 5061 hacia Microsoft. El propio SBC envía OPTIONS a sip.pstnhub.microsoft.com.
8. Permita UDP saliente desde el rango RTP hacia las redes de Microsoft.
9. Permita al servidor EasyUC HTTPS saliente hacia Let’s Encrypt, Microsoft Graph y el inicio de sesión de Microsoft. Para la renovación automática, también hacia la API de Cloudflare.
10. Introduzca los valores en EasyUC, en SBC Setup: la dirección externa en Public IP y la dirección interna del servidor en Media IP.
11. Para cada tenant adicional, abra además su puerto TLS. Se muestra en la lista de tenants después del nombre de host.

Campos y opciones

Comprobar el resultado y acotar errores

• Éxito: el nombre de host se resuelve desde fuera a la IP pública. Tras configurar el certificado y el trunk, la página del tenant muestra una hora actual en Last OPTIONS.
• Comprobación desde fuera: una conexión TLS al nombre de host en el puerto TLS debe entregar el certificado incluido el certificado intermedio. El puerto solo se abre cuando la IP pública está definida, el certificado está emitido y el tenant está activo.
• Trunk down, sin OPTIONS de Microsoft: Microsoft solo comienza cuando le llegan los OPTIONS del SBC. Compruebe el TCP saliente 5061 y el puerto TLS entrante.
• La llamada se establece, pero no hay audio: la IP pública es incorrecta o el rango UDP no está abierto.
• Audio solo en algunas llamadas: el rango RTP se solapa con otro servicio. EasyUC rechaza estos rangos al guardar; revise el mensaje en la página del SBC.
• „Microsoft kennt die Domain dieses SBC-Namens in diesem Tenant nicht.“ El dominio no está verificado en el tenant de Microsoft 365.
• „Die öffentliche IP muss aus dem Internet erreichbar sein; … liegt in einem privaten oder reservierten Bereich.“ Introduzca la dirección externa.