Bonjour !
Dans la leçon précédente, nous avons exploré l'architecture du Direct Routing et le rôle central du Session Border Controller (SBC). Vous comprenez maintenant que le SBC agit comme une passerelle sécurisée et un traducteur entre Microsoft Teams et le monde extérieur.
Introduction
Aujourd'hui, nous passons de la théorie à la pratique. Cette leçon est la première étape concrète de la configuration de votre SBC. L'objectif est de configurer les prérequis sur le SBC : interfaces réseau, certificats TLS et profils de sécurité SIP.
Ces étapes sont fondamentales et universelles pour tous les SBC certifiés. Votre expérience avec les routeurs Cisco CUBE vous sera très utile ici. La configuration des interfaces réseau est similaire à la configuration des interfaces GigabitEthernet sur un CUBE. La gestion des certificats s'apparente à la création de trustpoints et à l'importation de certificats CA. Enfin, les profils de sécurité SIP sont l'équivalent des configurations de sécurité que l'on applique aux dial-peers pour sécuriser les communications.
À la fin de cette leçon, vous serez en mesure de :
- Identifier et configurer les interfaces réseau (WAN/LAN) d'un SBC.
- Comprendre et mettre en œuvre les exigences de certificats TLS pour une connexion sécurisée avec Microsoft.
- Créer les profils de sécurité SIP nécessaires pour la signalisation avec Teams.
1. Prérequis : La Liste des Ingrédients
Avant de commencer à configurer, il est essentiel de rassembler tous les éléments nécessaires. Une bonne préparation est la clé d'un déploiement réussi.
Voici les prérequis indispensables pour chaque SBC que vous souhaitez connecter à Teams :
- Une adresse IP publique : Le SBC doit être joignable depuis Internet par les serveurs de Microsoft.
- Un nom de domaine complet (FQDN) : Un nom public, par exemple
sbc.votreentreprise.com. - Un enregistrement DNS public : Un enregistrement de type
Aqui fait correspondre le FQDN à l'adresse IP publique du SBC. - Un certificat TLS public : Un certificat émis par une autorité de certification (CA) approuvée par Microsoft, dont le nom correspond au FQDN du SBC.
- Ouverture des ports sur votre pare-feu : Pour autoriser le trafic de signalisation et média entre Microsoft et votre SBC.
Le document suivant, bien que spécifique à AudioCodes, liste parfaitement ces prérequis universels.
[PDF] Mediant SBC with Microsoft Teams Direct Routing Enterprise Model
Lisez cette section du guide de configuration AudioCodes pour bien comprendre les prérequis d'infrastructure. Portez une attention particulière à la règle concernant le nom de domaine du SBC.
Dans le document, lisez la section 2.3 "Infrastructure Prerequisites" et la section 3.2 "SBC Domain Name in the Teams Enterprise Model". Le point crucial à retenir est que le FQDN du SBC doit utiliser un domaine que vous avez enregistré dans votre tenant Microsoft 365, et non le domaine par défaut *.onmicrosoft.com.
2. Configuration des Interfaces Réseau
La première étape de la configuration d'un SBC est de définir ses connexions réseau. Généralement, un SBC possède au moins deux interfaces logiques :
- Une interface WAN (externe), connectée à Internet pour communiquer avec Microsoft Teams.
- Une interface LAN (interne), connectée à votre réseau d'entreprise, potentiellement pour communiquer avec un PBX existant ou pour l'administration.
La vidéo suivante montre concrètement la configuration de ces interfaces sur un SBC AudioCodes.
Configuring Audiocodes SBC for Microsoft Teams Direct Routing
Regardez cet extrait de la vidéo "Configuring Audiocodes SBC for Microsoft Teams Direct Routing". Il montre comment nommer et assigner les interfaces à des rôles (WAN pour Teams, LAN pour un autre système) et définir les ports d'écoute.
Regardez la vidéo de 00:00:00 à 00:02:18. Observez comment le présentateur configure une interface SIP pour Teams sur l'interface WAN et une autre sur l'interface LAN.
Cas du NAT et du Pare-feu
Si votre SBC est derrière un pare-feu ou un routeur qui effectue de la traduction d'adresses réseau (NAT), vous devez créer des règles pour transférer le trafic entrant vers le SBC. Cela concerne principalement le port de signalisation SIP (généralement TCP/5061) et la plage de ports pour le média (RTP).
Configuring Audiocodes SBC for Microsoft Teams Direct Routing
Cet extrait de la même vidéo explique comment configurer les règles de NAT sur le SBC pour informer l'équipement de son adresse IP publique.
Regardez la vidéo de 00:28:16 à 00:31:01. Le présentateur crée des règles de traduction pour le port de signalisation et pour la plage de ports média. Il est important de noter que cette configuration sur le SBC doit être accompagnée de règles de redirection de port (Port Forwarding) correspondantes sur votre pare-feu externe.
3. Gestion des Certificats TLS : Le Sceau de Confiance
La connexion entre votre SBC et Microsoft Teams doit être sécurisée à l'aide de TLS. Cela fonctionne comme une poignée de main sécurisée où chaque partie vérifie l'identité de l'autre. C'est ce qu'on appelle l'authentification mutuelle TLS (MTLS).
Pour que cela fonctionne, deux actions sont nécessaires :
- Votre SBC doit présenter un certificat valide que Microsoft peut vérifier.
- Votre SBC doit faire confiance aux certificats présentés par les serveurs de Microsoft.
A. Obtenir et Installer le Certificat du SBC
Le certificat de votre SBC doit être émis par l'une des autorités de certification publiques approuvées par Microsoft (par exemple, DigiCert, Entrust, Sectigo).
Le processus standard est le suivant :
- Générer une demande de signature de certificat (CSR) sur le SBC. Cette demande contient des informations sur votre organisation et le FQDN du SBC.
- Envoyer le CSR à l'autorité de certification choisie.
- Recevoir le certificat signé de l'autorité.
- Importer le certificat signé (et les certificats intermédiaires) sur le SBC.
Le guide de configuration AudioCodes détaille précisément cette procédure.
[PDF] Mediant SBC with Microsoft Teams Direct Routing Enterprise Model
Cette section du guide AudioCodes est un excellent tutoriel pas-à-pas pour la gestion des certificats. Même si l'interface est spécifique, les étapes conceptuelles sont universelles.
Lisez attentivement la section 4.3, "SIP TLS Connection Configuration". Concentrez-vous sur les sous-sections : 4.3.2: Création d'un "TLS Context" (un conteneur pour les paramètres de sécurité). 4.3.3: Génération du CSR. 4.3.4: Déploiement du certificat du SBC et des certificats racines/intermédiaires fournis par votre autorité de certification. Faites attention au fait que le FQDN du SBC doit être renseigné dans les champs CN (Common Name) et SAN (Subject Alternative Name) du certificat.
B. Installer les Certificats Racines de Microsoft
Pour que votre SBC fasse confiance à Microsoft, vous devez installer les certificats racines publics des autorités de certification utilisées par Microsoft (principalement DigiCert).
La vidéo suivante montre l'importance de cette étape.
Configuring Audiocodes SBC for Microsoft Teams Direct Routing
Regardez comment l'installation d'un certificat racine de confiance change immédiatement le statut de la connexion sur le SBC.
Regardez la vidéo de 00:07:00 à 00:08:55. Le présentateur télécharge le certificat "Baltimore CyberTrust Root" (un ancien certificat racine de Microsoft) et l'importe sur le SBC. Observez comment le statut de la connexion aux proxys Microsoft passe à "Online" immédiatement après.
Pour une liste à jour des certificats à importer, il est toujours préférable de consulter la documentation officielle de Microsoft ou les guides des constructeurs. Le guide ProSBC, par exemple, fournit des liens directs.
MS-Teams Direct Routing SBC Example Configuration
Ce guide pour un autre type de SBC (ProSBC) montre la même logique : installer le certificat local du SBC et les certificats de confiance de Microsoft.
Lisez la section "FQDN and certificates". Notez comment il distingue le certificat de type "Local" (celui du SBC) et ceux de type "Trusted" (ceux de Microsoft). Vous y trouverez les liens vers les certificats racines DigiCert actuellement recommandés.
4. Configuration des Profils de Sécurité SIP
Maintenant que le réseau et les certificats sont en place, la dernière étape consiste à créer les profils qui dictent comment la signalisation SIP doit se comporter. Cela consiste à lier les interfaces réseau et les certificats à des règles de communication SIP.
Les éléments clés à configurer sont :
- Interface SIP (ou Transport SIP) : Définir un point d'écoute pour la signalisation. C'est ici que vous spécifiez que pour Teams, le SBC doit écouter en TLS sur le port 5061.
- Profil/Contexte TLS : Lier l'interface SIP au contexte TLS créé précédemment, qui contient le certificat de votre SBC.
- Authentification Mutuelle (MTLS) : Activer explicitement cette option pour la connexion vers Teams. C'est une case à cocher cruciale.
- Profil Média Sécurisé : Spécifier que le trafic média doit utiliser le protocole SRTP (Secure Real-time Transport Protocol) pour chiffrer la voix.
La vidéo ci-dessous montre la création de profils qui incluent ces paramètres de sécurité.
Configuring Audiocodes SBC for Microsoft Teams Direct Routing
Pour finir, regardez comment créer des profils spécifiques pour Teams qui encapsulent ces règles de sécurité.
Regardez la vidéo de 12:52 à 15:36. Le présentateur crée un "IP Profile" pour Teams. Observez les paramètres clés qu'il configure : SBC Media Security Mode : Secured (pour activer SRTP). Il associe ce profil à d'autres paramètres SIP pour assurer l'interopérabilité.
Conclusion
Félicitations ! Vous avez couvert les étapes de configuration fondamentales d'un SBC pour le Direct Routing. Bien que l'interface et la terminologie puissent varier d'un constructeur à l'autre (AudioCodes, Ribbon, Oracle, etc.), les concepts que nous avons vus aujourd'hui restent les mêmes partout.
Points clés à retenir :
- La configuration d'un SBC commence par les fondations réseau : des interfaces IP (LAN/WAN) correctement configurées, avec les règles de NAT et de pare-feu nécessaires.
- La sécurité repose sur une infrastructure à clé publique (PKI) robuste : un certificat public sur le SBC et les certificats racines de Microsoft dans le magasin de confiance du SBC.
- L'authentification mutuelle (MTLS) est obligatoire et doit être activée explicitement pour la connexion à Teams.
- Les profils de sécurité SIP lient tous ces éléments en spécifiant l'utilisation de TLS sur le port 5061 pour la signalisation et de SRTP pour le média.
Prochaine étape :
Le SBC est maintenant prêt à communiquer. Dans la prochaine leçon, nous passerons de l'autre côté du miroir : nous allons configurer le tenant Microsoft Teams pour qu'il reconnaisse notre SBC. Nous établirons le "trunk SIP" et nous verrons pour la première fois la commande PowerShell New-CsOnlinePSTNGateway pour déclarer officiellement notre SBC auprès de Teams.