Configuration TLS et certificats pour Teams

Bonjour et bienvenue dans cette nouvelle leçon du module sur l'intégration de Microsoft Teams Direct Routing.

Dans la leçon précédente, nous avons exploré l'architecture du Direct Routing et établi que le SBC joue un rôle fondamental de passerelle sécurisée. Nous avons souligné qu'une communication chiffrée via TLS (Transport Layer Security) entre le SBC et Microsoft 365 n'est pas une option, mais une exigence absolue.

Aujourd'hui, nous passons de la théorie à la pratique. L'objectif de cette leçon est de vous apprendre à configurer les interfaces TLS et les certificats requis pour la communication avec Teams. Cette étape est l'une des plus critiques de toute la configuration. Une erreur ici, et aucune communication ne pourra être établie. Nous allons procéder méthodiquement, étape par étape, pour construire cette fondation sécurisée.

---

1. Le Principe : Confiance Mutuelle via Certificats

Pour que la communication TLS fonctionne, le SBC et Microsoft doivent se faire mutuellement confiance. Cette confiance est établie à l'aide de certificats numériques, un peu comme des cartes d'identité électroniques.

• Le SBC doit faire confiance à Microsoft : Lorsque le SBC se connecte aux serveurs de Teams (par exemple sip.pstnhub.microsoft.com), ces serveurs lui présentent un certificat. Pour que le SBC accepte ce certificat comme valide, il doit avoir dans son magasin de confiance le certificat de l'Autorité de Certification (CA) qui a signé le certificat de Microsoft. On parle de certificat racine (Root CA). Microsoft utilise des CA publiques bien connues, comme DigiCert.
• Microsoft doit faire confiance au SBC : De la même manière, lorsque votre SBC initie une connexion, il doit présenter son propre certificat. Pour que Microsoft accepte cette connexion, trois conditions doivent être remplies :
  1. Le certificat du SBC doit être signé par une Autorité de Certification publique approuvée par Microsoft. Un certificat auto-signé sera rejeté.
  2. Le nom principal du certificat (Common Name - CN) et/ou le nom alternatif (Subject Alternative Name - SAN) doit correspondre exactement au nom de domaine public complet (FQDN) de votre SBC (par ex. sbc.votreentreprise.com).
  3. L'heure et la date du SBC doivent être correctes pour valider les dates d'expiration des certificats. C'est pourquoi la configuration d'un serveur NTP (Network Time Protocol) est une étape préalable indispensable.

Cette validation des deux côtés est appelée Authentification Mutuelle TLS (MTLS).

---

2. Le Processus de Configuration (Étape par Étape)

Nous allons maintenant suivre le processus complet de configuration sur le SBC AudioCodes. Ce processus peut sembler long, mais chaque étape est logique et indispensable.

La documentation officielle d'AudioCodes est la référence la plus fiable. Nous allons nous baser sur celle-ci tout au long du processus.

Étape 1 : Configurer le Serveur NTP

Comme mentionné, la synchronisation de l'heure est cruciale.

1. Naviguez vers Setup menu > Administration tab > Time & Date.
2. Dans le champ Primary NTP Server Address, entrez l'adresse IP ou le FQDN d'un serveur NTP fiable (par exemple, un contrôleur de domaine interne ou un serveur public comme pool.ntp.org).
3. Cliquez sur Apply.

Cette étape est décrite dans la section 4.3.1 du document PDF que vous consultez.

Étape 2 : Créer un "TLS Context"

Un TLS Context est un objet de configuration dans le SBC qui regroupe tous les paramètres liés à une connexion TLS spécifique : la version de TLS à utiliser, les algorithmes de chiffrement (ciphers), et surtout, les certificats.

1. Naviguez vers Setup menu > IP Network tab > Security folder > TLS Contexts.
2. Cliquez sur +New pour créer un nouveau contexte.
3. Donnez-lui un nom explicite, par exemple Teams_TLS_Context.
4. Assurez-vous que la version de TLS est au minimum TLSv1.2.
5. Cliquez sur Apply.

Cette étape correspond à la section 4.3.2 du guide AudioCodes.

Étape 3 : Générer la Demande de Signature de Certificat (CSR)

C'est ici que vous préparez la "demande de carte d'identité" pour votre SBC.

1. Dans la page TLS Contexts, sélectionnez la ligne de votre Teams_TLS_Context et cliquez sur le lien Change Certificate en bas.
2. Remplissez les champs de la section Certificate Signing Request :
   • Common Name [CN] : Entrez le FQDN public de votre SBC. Ceci est crucial. (ex: sbc.votreentreprise.com)
   • 1st Subject Alternative Name [SAN] : Changez le type en DNS et entrez à nouveau le même FQDN.
   • Remplissez les autres champs (Organisation, Pays, etc.) selon les exigences de votre autorité de certification.
3. Cliquez sur Create CSR. Le SBC génère un bloc de texte qui commence par -----BEGIN CERTIFICATE REQUEST-----.
4. Copiez l'intégralité de ce texte dans un fichier (ex: sbc_teams.csr). C'est ce fichier que vous fournirez à votre autorité de certification (CA) publique (DigiCert, GoDaddy, Sectigo, etc.).

Cette étape est détaillée dans la section 4.3.3 du guide.

Étape 4 : Déployer les Certificats

Une fois que la CA vous a retourné les fichiers de certificat (généralement votre certificat signé et les certificats racine/intermédiaires de la CA), vous devez les installer sur le SBC.

A. Installer le certificat du SBC :

1. Retournez sur la page Change Certificate de votre TLS Context.
2. Scrollez jusqu'à la section Upload certificates files from your computer.
3. Cliquez sur Choose File à côté de Send Device Certificate..., sélectionnez le fichier de certificat de votre SBC que vous avez reçu de la CA, et cliquez sur Load File.

B. Installer les certificats racines de confiance :

1. Retournez à la page TLS Contexts. Sélectionnez votre contexte et cliquez sur le lien Trusted Root Certificates.
2. Cliquez sur Import.
3. Sélectionnez le ou les fichiers de certificats racines et intermédiaires fournis par votre CA et chargez-les.
4. Vous devez également impérativement télécharger et importer les certificats racines que Microsoft utilise pour ses services.

Pour la connexion avec Teams, il est obligatoire d'importer la chaîne de certificats de Microsoft. Historiquement, c'était le certificat "Baltimore CyberTrust Root", mais Microsoft a migré vers une nouvelle infrastructure "DigiCert". Il est recommandé d'installer les deux pour assurer la compatibilité.

Vous trouverez les certificats racines actuels de Microsoft dans la section 4.5 'Deploying Trusted Root Certificate for MTLS connection' du guide PDF LINK.

Étape 5 : Configurer l'Interface SIP

La dernière étape consiste à dire au SBC d'écouter les connexions SIP sécurisées provenant de Teams et d'utiliser le TLS Context que nous venons de préparer.

1. Naviguez vers Setup menu > Signaling & Media tab > Core Entities folder > SIP Interfaces.
2. Créez une nouvelle interface ou modifiez une existante pour Teams.
3. Configurez les paramètres clés :
   • Name : Donnez-lui un nom clair, comme Teams_SIP_IF.
   • Network Interface : Sélectionnez l'interface réseau qui fait face à Internet (votre interface WAN).
   • TLS Port : Réglez-le sur 5061. C'est le port standard pour le SIP sur TLS.
   • TLS Context Name : Sélectionnez dans la liste déroulante le Teams_TLS_Context que vous avez créé. C'est le lien qui active toute notre configuration de certificats.
   • TLS Mutual Authentication : Réglez ce paramètre sur Enable.
4. Cliquez sur Apply.

Cette étape est couverte par la section 4.7 'Configuring SIP Signaling Interfaces' du guide LINK.

---

Conclusion

Aujourd'hui, nous avons réalisé une configuration fondamentale et complexe : la mise en place du canal de communication sécurisé avec Microsoft Teams. Sans cette base, aucune des étapes de routage ou de manipulation SIP ne pourrait fonctionner.

Points clés à retenir :

• La connexion à Teams nécessite une Authentification Mutuelle TLS (MTLS), impliquant une confiance dans les deux sens.
• Le processus est rigoureux : NTP -> TLS Context -> CSR -> Déploiement des certificats (SBC + Racine) -> Configuration de l'interface SIP.
• Le FQDN du SBC doit correspondre exactement au nom dans le certificat (champs CN/SAN).
• L'interface SIP pour Teams doit écouter sur le port TLS 5061 et être liée au bon TLS Context.
• Il est impératif d'importer les certificats racines publics de Microsoft dans le magasin de confiance du SBC.

Aperçu de la prochaine leçon :
Maintenant que le canal de communication sécurisé est prêt, nous pouvons commencer à définir la "relation" SIP avec Microsoft. Dans la prochaine leçon, nous allons créer le trunk SIP vers Microsoft Teams, en configurant les objets de base comme le Proxy Set, l'IP Group, et l'IP Profile, en respectant les prérequis de Microsoft. Nous nous appuierons directement sur l'interface TLS que nous venons de construire.