【3CXやってみた】3CXのSBCってどんなもの？SBCを利用するための電話機設定をやってみた（便利でセキュア）

2023年6月25日 20:45

こんにちは、CCアーキテクトの辻です。みなさんSBCをご存じでしょうか。SBCとはSession Border Controllerの略語で、機能としてはネットワークの境界に設置して異なるネットワーク間でSIP・VoIPの通信をとりもつゲートウェイ装置になります。

ただ、SBCとひとくくりにしても、「異なるネットワーク」がIP⇔IPという接続だけでなく、IP⇔ISDNやIP⇔PSTNという接続時に使われるゲートウェイ機器も、SBCと呼称されることがあり、ただSBCと言っただけではこのあたりの区別がぼんやりすることがあります。

CCアーキテクトが提案する、3CXの世界でよく使われるSBCは下記になります。

3CX純正SBC：これは3CXがクラウドなどにある場合、電話機の拠点（社内）と3CXをセキュアに接続するためのSBCになります。
CCEDGE（ソフトウェアSBC Anynode）：これは、NTTのひかり電話世界の通信と、3CXが稼働しているネットワークとの境界に設置して間を取り持ちます。非常に多機能なSBCで、ひかり電話の収容以外にもTeamsのDirect Routing用のSBCとしても認定を受けています。いろいろなIP⇔IPネットワーク間の通信を取り持つことが可能です。

＜CCEDGE : Anynode＞
〇NTT東のソフトフォン適合検査合格リストに記載があります：https://www.ntt-east.co.jp/tekigou/s_kouji.html
〇NTT西のソフトフォン適合検査合格リストに記載があります：https://www.ntt-west.co.jp/tekigou/softphone/4.html
〇マイクロソフト認定のSBC ベンダーリストに記載があります　：https://learn.microsoft.com/ja-jp/microsoftteams/direct-routing-border-controllers

Yeastar TE/TBシリーズ：一般的にはISDNゲートウェイという呼ばれ方をします。ISDNネットワークとIPネットワークの境界に設置されるSBCと解釈することもできます。
そのほかにも、ソフトバンクのIP電話網とIPネットワークを取り持つSBC、KDDIのIP電話網とIPネットワークを取り持つSBCなどが存在します。（ほとんどの場合ゲートウェイと呼称されますね）

今回は3CX純正SBCのご紹介を記事にしてみました。

3CX導入のご相談は、CCアーキテクトまでお気軽にお問い合わせください。

＃ 3CX構築・Genesys構築のエキスパート CCアーキテクト (cc-arc.com)

SBCが存在しない場合、IP電話機と3CXはどのような接続になるでしょうか？

その場合、STUNという接続方式になり、電話機はSTUNサーバーへ問い合わせを行ってネットワークの経路で変換されるIPアドレスや、ポート番号を把握しながらSIPの登録や通信を行います。

電話機はSTUNサーバーへ自身のネットワーク環境でのグローバルIPや変換後のSIPポート番号を問い合わせます。

電話機はソースポート5065（ローカルのSIPポート）でSTUNへ問い合わせを行い、変換後のIPとポート番号を知る。

また、電話機はメディアデータ（音声のRTPデータ）を待ちうけるためのローカルポート番号を持っているのですが、これも経路のネットワーク機器で何番に変換されているのかをSTUNサーバーへ問い合わせます。

これはSTUNサーバーへ、それぞれのローカルポートを設定したパケットを使って、問い合わせを複数行うことで把握します。

電話機はソースポート14008（ローカルのメディアポート）でSTUNへ問い合わせを行い、変換後のIPとポート番号を知る。これを音声の受信に使用するポート番号分行います。

そして、通話の開始時では、STUNサーバーから取得したIPアドレスやポート番号からSDPを組み立ててINVITEを送信します。

3CXサーバーは、この電話機から申告のあったグローバルIPやポート番号と通信することになるのですが、どうでしょうか？

かなり経路のネットワーク機器に依存していると思いませんか？

そう思われた方は勘が鋭いです。実際、LAN⇔WANで通信の変換を受け持っている機器はファイアーウォール機器の場合が多く、この箇所でのSIPの通信やUDPの通過に対して、ALGなどで監視や制限を行っていることが多々あります。
また、そもそもとして特定ポートのUDP以外はLAN側へ入ってこないようにポートに対するセキュリティをかけている場合もあります。

それに、STUN方式で電話機の登録を3CXへ行えるようにするという事は、SIP登録に使用するIDとパスワードさえわかれば、誰でもインターネット側から端末登録ができることになってしまいます。その為、3CXのデフォルト設定ではSTUN端末の登録はOFFになっていて、STUN方式のIP電話機を使用する場合は明示的にこの機能をONにする必要があります（ONにするときに警告文も表示されます）

STUN方式の問題点は下記となります。

STUNの場合、電話機が正しく通信できるかどうかは経路上のNAT機器の処理に依存してしまう。
3CX側でSTUN方式の電話機の登録を待ち受けれる設定はあまりセキュアではない。（端末登録用のIDとパスワードは充分に複雑なものにしましょう）

この2つの問題点を一挙に解決できるのが3CXのSBC機能になります。

3CXのSBCはLAN内にSBC専用機を稼働させます。
マシンは仮想マシンでも良いですし、PC筐体でもOKです。

3CXのSBCと3CXはトンネル接続され、専用のVPNのように機能します。
電話機と3CXとの通信はこのトンネル内で暗号化された状態で通信が行われるため、セキュアな接続がおこなえ、また経路のネットワーク機器もトンネル接続で跨ぐことができるため、STUN接続の時の様なNATやALG制御の問題が発生しません。

電話機のプロビジョニング時に、電話機が利用するSBCを指定することが可能な為、一度構築してしまえば電話機の増設時にもプロビジョニングによって簡単にSBC経由の通信を指示できます。