Приймання й надсилання SIP через TLS

Цей переклад зроблено автоматично і ще не вичитано. Читати англійську версію

TLS шифрує сигналізацію SIP між комутатором і клієнтом або вендором, тож номери й заголовки неможливо прочитати дорогою. На цій сторінці налаштовуються обидва напрямки: вхідні TLS-дзвінки від клієнтів і вихідні TLS-дзвінки до вендора. Закладіть 30 хвилин.

Перш ніж почати

У вас є доступ Administrator (адміністратор) до середовища.
У вас є чинний сертифікат і його закритий ключ для SIP-імені комутатора, або ви можете випустити його через Let’s Encrypt, як описано в розділі Встановлення SSL-сертифіката для вебінтерфейсу. Сертифікат із простроченим строком дії не може встановити TLS-з’єднання.
Ви знаєте IP-адреси клієнтів і вендорів, які використовуватимуть TLS.
Для вихідних дзвінків: TLS-адреса й порт вендора, а також його сертифікат CA, якщо ви хочете перевіряти вендора.

Крок 1: Дозвольте TLS у фаєрволі

SIP через TLS використовує TCP, за замовчуванням порт 5061, і IP Firewall (IP-фаєрвол) закриває його для всіх, доки ви його не дозволите.

Відкрийте System Management → IP Firewall і виберіть вкладку SIP.
Натисніть Add Rule (додати правило), виберіть Type (тип) SIP/TLS, введіть IP Address (IP-адреса) і Netmask (маска мережі) клієнта або вендора та встановіть Rule (правило) на Allow (дозволити).
Повторіть для кожного учасника з’єднання й натисніть Save.

Результат: учасників з’єднання перелічено під SIP/TLS. Див. Налаштування фаєрвола.

Крок 2: Додайте сертифікат

Відкрийте System Management → SSL Management → SSL Certificates (SSL-сертифікати) і натисніть Add.
Введіть Name (назва) і Common Name (загальне ім’я) - SIP-ім’я комутатора.
Виберіть Use Domain (область використання) SIP TLS і Type: Uploaded (завантажений) із сертифікатом і ключем у розділі Advanced Parameters (додаткові параметри) або Issued by LetsEncrypt.org (випущено LetsEncrypt.org).
Натисніть Save & Close.

Результат: сертифікат є у списку з його Expiration Date (дата закінчення строку дії).

Крок 3: Приймайте вхідні TLS-дзвінки

Комутатор приймає TLS на TCP 5061 кожної IP-адреси середовища. Слухачу потрібен сертифікат, перш ніж він почне відповідати.

Відкрийте System Management → SIP Features → Incoming SIP TLS Connections (вхідні з’єднання SIP TLS).
Натисніть Add.
Виберіть Network Listener (мережевий слухач) - IP-адресу й порт, які прийматимуть TLS.
Виберіть SSL Certificate (SSL-сертифікат) з кроку 2 і TLS Method (метод TLS).
Натисніть Save.

Screenshot "operations/incoming-sip-tls" has not been generated yet — see scripts/screenshots/screens.yml.

TLS Method	Протоколи, що приймаються
`SSLv23`	Будь-які: SSLv2, SSLv3, TLSv1, TLSv1.2, TLSv1.3
`TLSv1_3`	Лише TLSv1.3
`TLSv1_2`	Лише TLSv1.2
`TLSv1`	Лише TLSv1

Використовуйте TLSv1_2 або TLSv1_3, якщо учасник з’єднання їх підтримує; SSLv23 приймає також протоколи, які більше не є безпечними.

Результат: приблизно за хвилину слухач приймає TLS-дзвінки. Клієнти спрямовують свої пристрої на цю адресу й порт із транспортом TLS.

Крок 4: Надсилайте дзвінки вендору через TLS

Необов’язково: щоб перевіряти сертифікат вендора, відкрийте System Management → SSL Management → CA Lists (списки CA), натисніть Add, введіть Name, виберіть Use Domain SIP TLS, завантажте сертифікат CA вендора в Upload CA List (завантажити список CA) і збережіть.
Відкрийте Vendors → Vendors і натисніть Connections (підключення) у рядку вендора.
Відкрийте підключення або додайте нове. Установіть Protocol (протокол) на SIP/TLS, введіть TLS-адресу й порт вендора та натисніть Save & Close. SIP/TLS пропонується, лише коли існує принаймні один SSL-сертифікат.
У списку підключень натисніть SIP TLS Options (параметри SIP TLS) у рядку підключення.
Виберіть SSL Certificate з кроку 2, CA List (список CA), якщо ви його додали, і TLS Method.
Натисніть Save.

Screenshot "operations/connection-sip-tls" has not been generated yet — see scripts/screenshots/screens.yml.

Результат: приблизно за хвилину дзвінки, маршрутизовані на це підключення, виходять через TLS. З’єднання TLS і TCP завжди використовують один вихідний порт.

Крок 5: Перевірте налаштування

Зробіть тестовий дзвінок з пристрою клієнта, налаштованого на TLS. Відкрийте Reports → Call Records (CDRs) і перевірте, що дзвінок є у списку.
Зробіть тестовий дзвінок, маршрутизований на TLS-підключення, і перевірте його CDR під вендором.
Якщо TLS-дзвінок не доходить до комутатора або до вендора, перевірте правило фаєрвола SIP/TLS, Expiration Date сертифіката і те, що обидві сторони приймають однаковий TLS Method.