DNS, adresse IP publique et pare-feu pour le SBC

À quoi cela sert

Microsoft établit le trunk SIP depuis son réseau vers le SBC. Pour cela, le SBC doit être joignable sous un nom public et une adresse publique, et le pare-feu doit laisser passer la signalisation et l’audio. La plupart des erreurs lors de la mise en service surviennent ici, et non dans EasyUC.

Ce chapitre résume ce que vous préparez dans le DNS, sur le routeur et le pare-feu, ainsi que dans le tenant Microsoft 365, avant de créer le premier tenant dans EasyUC. Les numéros de port sont les valeurs par défaut d’EasyUC. Si vos réglages diffèrent, les valeurs de la page SBC font foi.

Le SBC accepte le SIP uniquement via TLS avec vérification mutuelle des certificats, et l’audio uniquement en SRTP. Il n’utilise pas de media bypass : l’audio circule toujours entre Microsoft et le SBC.

Prérequis

• Accès à la zone DNS publique du domaine du client.
• Accès au pare-feu et au NAT placés devant le serveur EasyUC.
• Une adresse IPv4 publique fixe pour le SBC.
• Un administrateur du tenant Microsoft 365 qui peut y vérifier le domaine.
• Le serveur EasyUC dispose d’un accès sortant vers Microsoft, vers Let’s Encrypt et vers le DNS public.

Pas à pas

1. Pour chaque tenant, choisissez un nom d’hôte dans le domaine du client, par exemple sbc.kunde.de.
2. Dans la zone DNS publique, créez pour ce nom d’hôte un enregistrement A qui pointe vers l’adresse IP publique du SBC.
3. Dans le centre d’administration Microsoft 365, sous Settings → Domains, vérifiez que le domaine du nom d’hôte est validé dans le tenant du client. Pour sbc.kunde.de, il s’agit de kunde.de. Pour un nom avec deux niveaux de sous-domaine, comme sbc.voice.kunde.de, voice.kunde.de doit être enregistré exactement.
4. Configurez un NAT 1:1 de l’adresse IP publique vers le serveur EasyUC, ou attribuez l’adresse directement sur le serveur.
5. Autorisez le TCP entrant sur le port TLS du tenant, par défaut 5061, depuis les réseaux sources 52.112.0.0/14 et 52.120.0.0/14.
6. Autorisez l’UDP entrant sur la plage RTP, par défaut 20000 à 20999, depuis les mêmes réseaux sources.
7. Autorisez le TCP 5061 sortant vers Microsoft. Le SBC envoie lui-même des OPTIONS à sip.pstnhub.microsoft.com.
8. Autorisez l’UDP sortant depuis la plage RTP vers les réseaux Microsoft.
9. Autorisez le serveur EasyUC à établir des connexions HTTPS sortantes vers Let’s Encrypt, vers Microsoft Graph et vers la connexion Microsoft. Pour le renouvellement automatique, ajoutez aussi l’API Cloudflare.
10. Saisissez les valeurs dans EasyUC sous SBC Setup : l’adresse externe sous Public IP, l’adresse interne du serveur sous Media IP.
11. Pour chaque tenant supplémentaire, ouvrez en plus son port TLS. Il est indiqué dans la liste des tenants, après le nom d’hôte.

Champs et options

Vérifier le résultat et circonscrire les erreurs

• Succès : le nom d’hôte se résout vers l’adresse IP publique depuis l’extérieur. Une fois le certificat et le trunk configurés, la page du tenant affiche une heure récente sous Last OPTIONS.
• Contrôle depuis l’extérieur : une connexion TLS vers le nom d’hôte sur le port TLS doit fournir le certificat, certificat intermédiaire compris. Le port ne s’ouvre que lorsque l’adresse IP publique est renseignée, que le certificat est émis et que le tenant est actif.
• Trunk down, aucun OPTIONS de Microsoft : Microsoft ne démarre que lorsque les OPTIONS du SBC lui parviennent. Vérifiez le TCP 5061 sortant et le port TLS entrant.
• L’appel est établi, mais il n’y a pas d’audio : l’adresse IP publique est incorrecte ou la plage UDP n’est pas ouverte.
• Audio seulement sur certains appels : la plage RTP chevauche un autre service. EasyUC refuse de telles plages à l’enregistrement ; consultez le message sur la page SBC.
• „Microsoft kennt die Domain dieses SBC-Namens in diesem Tenant nicht.“ Le domaine n’est pas vérifié dans le tenant Microsoft 365.
• „Die öffentliche IP muss aus dem Internet erreichbar sein; … liegt in einem privaten oder reservierten Bereich.“ Saisissez l’adresse externe.