Автентифікація

Цей переклад зроблено автоматично і ще не вичитано. Читати англійську версію

Автентифікація — перше, що комутатор робить з новим дзвінком: він визначає, якому Account (акаунт) належить дзвінок. Усе інше дає вже акаунт: тариф, баланс і групу маршрутизації. Дзвінок, який не вдається зіставити з акаунтом, відхиляється раніше, ніж встигає щось коштувати, і не залишає CDR.

Як це працює

Автентифікація: SIP digest або правила автентифікації ведуть до акаунта

У FlySIP є два методи, і один акаунт може використовувати обидва одночасно.

SIP digest. Пристрій, що дзвонить, надсилає ім’я користувача й пароль разом з INVITE. Комутатор порівнює їх з VoIP Login (VoIP-логін) і VoIP Password (VoIP-пароль) акаунтів. Лише цей метод дає пристрою змогу зареєструватися на комутаторі, а це потрібно, щоб приймати on-net дзвінки й дзвінки на DID. Це метод для софтфонів, IP-телефонів і ATA.

Правила автентифікації. Комутатор порівнює п’ять атрибутів вхідного дзвінка з Authentication Rules (правила автентифікації) усіх акаунтів:

Атрибут	Поле правила	Зіставлення
Віддалена IP-адреса	Remote IP Address	точне
Номер того, хто дзвонить	Incoming CLI/ANI	точне або шаблон із `*` (будь-яке закінчення) і `?` (будь-яка одна цифра)
Номер, на який дзвонять	Incoming CLD/DNIS	точне або ті самі шаблони
Домен у заголовку `To`	To Domain	точне або суфікс з `*` на початку
Домен у заголовку `From`	From Domain	точне або суфікс з `*` на початку

Правило спрацьовує, коли кожне заповнене поле збігається з дзвінком; порожні поля збігаються з будь-чим. Protocol (протокол) задано завжди: SIP для звичайного трафіку, Calling Card PIN для правил, які перевіряються, коли IVR запитує номер картки.

Коли збігається кілька правил, комутатор обирає найконкретніше:

Правило зі збіжним CLD переважає будь-яке правило з порожнім CLD. Серед таких правил збіжний CLI переважає порожній CLI, далі так само порівнюються Remote IP, To Domain і From Domain.
Для номерів точне значення переважає шаблон, шаблон лише з ? переважає шаблон із *, а з двох шаблонів перемагає той, у якому більше конкретних цифр.
Для доменів точний домен переважає суфікс, а довший суфікс перемагає коротший. Суфікс зіставляється буквально: *.example.com збігається з sip.example.com, але не з example.com.

Два однаково конкретні правила роблять дзвінок неоднозначним. Комутатор відповідає 401 Unauthorized, і пройти може вже лише digest-автентифікація. Інсталяції, оновлені зі старіших версій, можуть досі використовувати застарілий порядок на основі ваг; системний параметр system/sip/authentication/attr_order перемикає між default і old_style.

Правило може мати власні Tariff (тариф) і Routing Group (група маршрутизації) у розділі Advanced Parameters (додаткові параметри). Вони замінюють налаштування акаунта для дзвінків, що зіставилися з цим правилом, тож один акаунт може мати кілька цінових рівнів, наприклад окремо для кожної IP-адреси, з якої надходять дзвінки. Max Sessions (максимум сесій) і Max Calls Per Second (максимум дзвінків за секунду) у правилі обмежують трафік із цього джерела.

Ключові поняття

Account — SIP-ідентичність (логін і пароль або IP-адреса), що належить клієнту, здійснює та приймає дзвінки й має власний баланс.
Authentication Rule — правило, яке зіставляє вхідні дзвінки з акаунтом за віддаленою IP-адресою, CLI, CLD або доменом.
CLI (номер того, хто дзвонить) — номер абонента, що дзвонить (ANI), який передається разом із дзвінком.
DID (вхідний номер) — телефонний номер, що завершується на комутаторі й призначений акаунту або IVR-застосунку.
Trunk (транк) — SIP-підключення від АТС клієнта, яке надсилає дзвінки без реєстрації.

Типові сценарії

Оптовий клієнт надсилає дзвінки з фіксованої IP-адреси

Одне правило лише з Remote IP Address. Додайте друге правило з тією самою IP-адресою та шаблоном CLI, якщо клієнт хоче інший тариф для частини свого трафіку. Саме так налаштовано Швидкий старт: оптовий бізнес і IP-to-IP автентифікацію.

Одна IP-адреса надсилає трафік кількох клієнтів

Вендор, який доставляє дзвінки, використовує один шлюз для всіх, тому сама IP-адреса неоднозначна. Дайте кожному акаунту правило з цією IP-адресою та ще префіксом CLI або To Domain, що ідентифікує клієнта. Правила з CLI мають перевагу над правилами лише з IP-адресою, тож загальне правило для шлюзу може залишатися на місці.

Вхідні дзвінки на DID мають доходити до зареєстрованого телефону

Поєднайте обидва методи. Телефон реєструється з digest-обліковими даними. DID — це правило на тому самому акаунті, де Incoming CLD/DNIS дорівнює номеру, а Remote IP Address за потреби дорівнює адресі шлюзу постачальника DID. Правило автентифікує дзвінок на акаунт, і дзвінок доставляється на зареєстрований пристрій. Дивіться Створення DID і призначення його акаунту.

Блокування кількох напрямків для одного акаунта

Правило, у якого Incoming CLD/DNIS збігається з напрямком і яке веде до тарифу, де префікс позначено як Forbidden (заборонено), блокує ці дзвінки. Дзвінки, відхилені на етапі автентифікації, отримують 403 і не записуються в CDR. Для довгих списків натомість використовуйте Rules & Lists або DNC List: вони створені саме для цього, і правила залишаються читабельними.