Mise en place de l'authentification SIP (IP ou credentials)

Bonjour et bienvenue dans cette nouvelle leçon du module sur la configuration d'un SIP Trunk Opérateur.

Dans la leçon précédente, nous avons créé une règle de routage qui indique au SBC de diriger les appels de votre système interne vers le Proxy Set de l'opérateur. Le SBC sait maintenant où et quand envoyer un appel sortant. Cependant, une étape cruciale manque : l'opérateur doit être certain que vous êtes un client autorisé avant d'accepter l'appel.

L'objectif de cette leçon est donc de mettre en place l'authentification SIP requise par l'opérateur. Nous allons explorer les deux méthodes principales : l'authentification par adresse IP et l'authentification par credentials (nom d'utilisateur/mot de passe). C'est la configuration qui transforme une simple route en un trunk SIP sécurisé et fonctionnel.

1. Pourquoi l'Authentification est-elle Indispensable ?

Avant de configurer, il est important de comprendre pourquoi un opérateur (ITSP) exige une authentification. Il y a deux raisons fondamentales :

1. Sécurité : Pour empêcher des utilisateurs non autorisés d'utiliser votre trunk pour passer des appels, ce qui pourrait mener à de la fraude (fraude au péage ou "toll fraud"). L'opérateur s'assure que seuls ses clients légitimes peuvent utiliser son réseau.
2. Facturation (Billing) : Pour identifier sans ambiguïté quel client est à l'origine de l'appel afin de le facturer correctement.

Pour répondre à ces besoins, les opérateurs utilisent principalement deux méthodes d'authentification.

2. Méthode 1 : Authentification par Adresse IP

C'est la méthode la plus simple. Elle est souvent utilisée lorsque vous disposez d'une connexion dédiée et d'une adresse IP publique fixe connue de l'opérateur.

Le principe :
L'opérateur configure de son côté une liste d'adresses IP autorisées (une "Access Control List" ou ACL). Si un message SIP INVITE provient d'une adresse IP publique qui figure dans cette liste, il est considéré comme authentique et est traité. S'il vient d'une IP inconnue, il est rejeté.

Comment cela se traduit sur le SBC AudioCodes ?
Il n'y a pas de paramètre "activer l'authentification par IP" sur le SBC. Votre responsabilité est de vous assurer que le trafic SIP sortant vers l'opérateur utilise bien l'adresse IP publique que vous avez communiquée à l'opérateur.

Cela se contrôle via la SIP Interface :

• Rappelez-vous, dans le module 3, nous avons lié une SIP Interface à une interface réseau physique (Physical Interface) du SBC.
• Cette interface réseau possède une adresse IP (par exemple, votre adresse IP publique sur le port WAN).
• L'IP Group qui représente votre opérateur doit être configuré pour utiliser cette SIP Interface.

Ainsi, lorsque le SBC route un appel vers l'IP Group de l'opérateur, il enverra le message SIP en utilisant l'adresse IP source de la SIP Interface associée. Si cette IP est bien celle attendue par l'opérateur, l'authentification réussit.

3. Méthode 2 : Authentification par Credentials (Nom d'utilisateur / Mot de passe)

Cette méthode est très courante, surtout pour les trunks SIP qui transitent par l'internet public où les adresses IP peuvent être dynamiques ou partagées. Elle repose sur un mécanisme de "challenge/response" appelé Digest Authentication.

Le principe :

1. Le SBC envoie une demande à l'opérateur (par exemple, un message REGISTER pour s'enregistrer, ou directement un INVITE pour un appel).
2. Le serveur de l'opérateur ne connaissant pas encore l'identité de l'appelant, il répond par un message d'erreur 401 Unauthorized ou 407 Proxy Authentication Required. Ce message contient un "challenge", une chaîne de caractères aléatoire.
3. Le SBC utilise ce challenge, son nom d'utilisateur et son mot de passe pour calculer une réponse cryptée (un hash).
4. Il renvoie sa demande initiale (REGISTER ou INVITE), mais en y ajoutant cette fois un header Authorization (ou Proxy-Authorization) contenant la réponse calculée.
5. Le serveur de l'opérateur effectue le même calcul de son côté. Si les résultats correspondent, l'identité est prouvée et la demande est acceptée.

Configuration sur le SBC AudioCodes :
Cette authentification se configure dans la table Accounts. C'est ici que vous stockez les "comptes SIP" avec leurs credentials.

Le chemin d'accès dans l'interface web est généralement :
Setup > Signaling & Media > SIP Definitions > Accounts

Pour créer une entrée, vous devrez renseigner les informations fournies par votre opérateur. Le document ci-dessous illustre parfaitement cette configuration.

Comme vous pouvez le voir dans le document, la table Accounts fait le lien entre un côté interne (Served IP Group) et un côté externe (Serving IP Group), et y associe un jeu de credentials. C'est cette entrée qui permet au SBC de répondre correctement aux challenges d'authentification de l'opérateur.

Notez que d'autres guides, comme la Configuration Note pour Virgin Media Business (ressource LINK), décrivent exactement le même processus dans la section Step 11: Configure Registration Accounts. Cela confirme que la table Accounts est bien l'endroit standard pour cette configuration.

Authentification vs. Enregistrement (Registration)

Il est important de ne pas confondre ces deux concepts, même s'ils sont intimement liés.

• L'authentification est le processus de vérification de l'identité.
• L'enregistrement (Registration) est le mécanisme par lequel un équipement SIP (comme votre SBC) informe un serveur (le "Registrar" de l'opérateur) de son adresse actuelle pour pouvoir recevoir des appels entrants.

Lorsqu'un opérateur exige une authentification par credentials, celle-ci se fait très souvent au moment de l'envoi du message REGISTER. En configurant la table Accounts, vous donnez au SBC les informations nécessaires pour s'authentifier, et cela déclenchera généralement un processus d'enregistrement.

Nous avons donc préparé le SBC à prouver son identité. Dans la prochaine leçon, nous nous pencherons plus en détail sur ce processus d'enregistrement lui-même.

Conclusion

Vous avez maintenant ajouté une couche de sécurité et de conformité essentielle à votre trunk SIP. Sans une authentification correcte, même la meilleure des règles de routage est inutile car l'opérateur rejettera vos appels.

Points Clés à Retenir

• L'authentification est obligatoire pour la sécurité et la facturation.
• Méthode par IP : L'opérateur autorise votre adresse IP publique. Sur le SBC, cela implique d'utiliser la bonne SIP Interface (avec la bonne IP source) pour le IP Group de l'opérateur.
• Méthode par Credentials : Utilise un nom d'utilisateur et un mot de passe via un mécanisme de challenge/response (Digest).
• La configuration des credentials se fait dans la table Accounts, en liant un Served IP Group (interne) à un Serving IP Group (externe) avec le Username et le Password de l'opérateur.

Prochaine Étape

Maintenant que le SBC dispose des credentials, il doit activement s'enregistrer auprès de l'opérateur pour signaler sa présence et pouvoir recevoir des appels. Dans la prochaine leçon, nous allons configurer l'enregistrement du trunk ('SIP Registration'), voir comment le déclencher, et surtout, comment vérifier qu'il a bien réussi.