Que fait un session border controller ?

Un SBC protège le réseau vocal (il bloque les dénis de service, la fraude téléphonique et le SIP malformé, et masque la topologie interne), rend interopérables les piles SIP des différents fournisseurs, traverse le NAT, chiffre la signalisation et le média avec TLS et SRTP, applique le contrôle d'admission des appels et la qualité de service, transcode entre codecs et produit des statistiques d'appels à la frontière du réseau.

Un SBC est-il un pare-feu ?

Non. Un pare-feu filtre des paquets IP génériques sans comprendre la voix. Un SBC, lui, comprend la voix : il analyse le SIP, suit l'état de chaque appel et contrôle la signalisation comme le média. Les deux travaillent le plus souvent ensemble, le pare-feu pour les données et le SBC pour les appels.

Faut-il un SBC pour un agent vocal IA ?

Généralement non, si le déploiement est nouveau. Le point d'accès SIP de la plateforme d'agents vocaux peut terminer TLS et SRTP et, une fois au moins une méthode de contrôle d'accès configurée, authentifier les appels par identifiants digest ou listes d'IP autorisées, soit le cœur du rôle de sécurité d'un SBC. Les entreprises qui exploitent déjà un SBC devant leur PBX ou leurs trunks le conservent comme point de démarcation et l'orientent vers la plateforme d'agents.

Un session border controller est-il matériel ou logiciel ?

Les deux. Les SBC existent en appliances (Oracle, AudioCodes, Ribbon), en logiciel virtualisé ou cloud-native sur serveurs standards, et en services cloud managés. Des briques open source comme Kamailio, OpenSIPS et RTPEngine couvrent une partie du rôle d'un SBC.

SBC signifie session border controller : un contrôleur de sessions (d'appels) à la frontière entre deux réseaux. La forme inversée « border session controller » est une confusion fréquente du même terme.

Qu'est-ce qu'un session border controller (SBC) ?

Q: Qu'est-ce qu'un session border controller ?

Un session border controller (SBC) est un équipement réseau placé à la frontière entre deux réseaux IP, qui contrôle les appels en temps réel qui la traversent. Il termine et surveille la signalisation (le plus souvent SIP) et, généralement, le média (RTP) de chaque session, en appliquant des politiques de sécurité, d'interopérabilité et de qualité dans les deux sens.

Un session border controller, presque toujours abrégé en SBC, est le poste de contrôle où deux réseaux IP se passent des appels vocaux. Il se place à la frontière d’un réseau, termine la signalisation SIP et, le plus souvent, l’audio de chaque appel qui le traverse, et décide de ce qui peut passer : quels appels peuvent démarrer, quels codecs ils peuvent utiliser, quel volume de trafic est excessif, et si la signalisation et le média sont chiffrés.

La réponse courte pour la plupart des lecteurs : si votre entreprise exploite déjà un PBX ou des trunks SIP d’opérateur, il y a presque sûrement un SBC quelque part sur le chemin, même si personne ne l’a mentionné, et votre travail consiste à le pointer vers votre plateforme d’agents vocaux. Si vous construisez un stack d’agents vocaux à partir de zéro, vous n’avez presque sûrement pas besoin d’en acheter un, car le point d’accès SIP de la plateforme elle-même peut remplir le cœur du rôle de sécurité d’un SBC à la frontière. Le reste de ce guide explique ce qu’un SBC fait réellement, pour que vous sachiez dans quelle situation vous êtes.

Qu’est-ce qu’un session border controller

Un SBC est un équipement réseau déployé à la frontière entre deux réseaux IP pour protéger et contrôler les communications en temps réel fondées sur SIP, selon la définition de Wikipédia. Le nom est littéral une fois décomposé : une « session » est un appel, la « frontière » est le point de démarcation entre un réseau et un autre, et le « contrôleur » est la politique appliquée à ce qui la traverse.

Deux choix de conception définissent l’espèce :

C’est un back-to-back user agent (B2BUA). Contrairement à un proxy SIP, qui transmet les messages, un SBC termine chaque côté de l’appel indépendamment et le ré-origine de l’autre. Le réseau de l’appelant ne voit jamais que le SBC, jamais l’équipement derrière lui : c’est ce que recouvre le « masquage de topologie » des brochures commerciales.
Il touche au média, pas seulement à la signalisation. Un SBC se place sur le chemin du RTP en plus du SIP, ce qui lui permet de chiffrer, transcoder et mesurer l’audio lui-même, et de couper les appels dont la signalisation semble correcte mais dont le média est abusif.

Les SBC sont d’abord apparus aux points de peering entre opérateurs, là où des réseaux qui se méfient l’un de l’autre échangent des appels. Leur rôle s’est depuis étendu à la frontière de l’entreprise, entre son système téléphonique et son fournisseur de trunk SIP, ce qui est le point de rencontre le plus courant aujourd’hui.

Que fait un SBC

Les fiches techniques des fournisseurs listent des dizaines de fonctions, qui se regroupent en six métiers :

Métier	Ce que le SBC fait réellement
Sécurité	Bloque les dénis de service et le SIP malformé, empêche la fraude téléphonique, masque les adresses internes, chiffre la signalisation avec TLS et le média avec SRTP
Connectivité	Traverse le NAT, normalise les particularités des piles SIP de chaque fournisseur, fait dialoguer IPv4 et IPv6, traduit entre variantes de SIP et protocoles anciens comme H.323
Qualité de service	Admet ou rejette les appels selon la charge, limite les débits, police le trafic, marque les paquets pour la priorité
Réglementation	Priorise les appels d’urgence, prend en charge l’interception légale où elle est exigée
Services média	Transcode entre codecs, traduit le DTMF entre tonalités en bande et telephone-events, joue tonalités et annonces
Statistiques et facturation	Produit les tickets d’appels au point de mesure naturel, la frontière

La ligne sécurité explique pourquoi les SBC sont devenus un équipement standard. Un point d’accès SIP ouvert sur l’internet public est repéré par les scanners en quelques minutes et pilonné de tentatives d’appels gratuits : il faut bien un videur. La ligne interopérabilité explique pourquoi ils sont restés : chaque fournisseur implémente SIP un peu différemment, et le SBC est l’endroit où ces différences s’effacent avant de casser des appels.

SBC, pare-feu ou proxy SIP

On confond ces trois boîtiers parce qu’ils se placent tous aux bords du réseau :

Boîtier	Voit	Agit sur
Pare-feu	Des paquets IP génériques	Ports, adresses, protocoles, sans comprendre les appels
Proxy SIP	La signalisation seule	Achemine les INVITE vers la bonne destination ; ne touche jamais au média
SBC	Signalisation et média, avec l’état complet de l’appel	Politique de sécurité, interopérabilité, contrôle d’admission, chiffrement, transcodage

Un pare-feu qui « laisse passer SIP » ouvre simplement le port 5060 ; il ne sait pas distinguer un INVITE légitime d’une tentative de fraude, et il ne peut pas réparer le fait que le SDP contenu dans l’INVITE nomme une IP privée que l’autre côté ne peut pas joindre. Un proxy SIP achemine les appels mais ne les protège pas. Le SBC est celui qui fait les deux métiers avec une conscience de la voix, c’est pourquoi il se place entre le pare-feu et le système téléphonique dans le schéma typique d’une entreprise.

Matériel, virtuel, cloud et open source

Les SBC ont commencé comme appliances de rack, et ce marché existe toujours : la lignée Acme Packet d’Oracle, la série Mediant d’AudioCodes et la famille SWe de Ribbon figurent sur la plupart des bons de commande d’entreprise, et le CUBE de Cisco, l’élément de bordure intégré à ses routeurs, est le titulaire discret des parcs Cisco. Les mêmes fonctions se livrent désormais en machines virtuelles, microservices cloud-native et services managés à la session, si bien qu’« un SBC » est aujourd’hui plus souvent une licence qu’un boîtier.

Côté open source, Kamailio et OpenSIPS assurent le rôle de signalisation, le plus souvent associés à RTPEngine pour le média, et couvrent une large part de ce que fait un SBC commercial pour les équipes prêtes à les opérer. C’est une option réelle pour les opérateurs et les grandes plateformes ; c’est rarement la bonne réponse pour une équipe qui veut simplement que ses appels atteignent un agent.

En avez-vous vraiment besoin ?

Trois situations couvrent presque tous les cas :

Vous en avez déjà un. Si votre entreprise exploite un PBX ou des trunks SIP d’opérateur, il y a un SBC (ou un CUBE, ou celui de l’opérateur) à la frontière, et il fait son travail. Conservez-le comme point de démarcation et pointez-le vers le point d’accès SIP de la plateforme d’agents quand vous ajoutez des agents vocaux.
Votre opérateur en a un. Chaque fournisseur de trunks exploite des SBC sur sa propre frontière ; c’est une partie de ce que le tarif à la minute achète. Les appels entre les SBC de deux opérateurs sont le cas normal, pas l’exception.
Vous construisez des agents vocaux à partir de zéro. S’il n’y a pas de système téléphonique historique à protéger, un SBC appliance est un saut dont vous n’avez pas besoin. Le travail de sécurité qu’il ferait, TLS pour la signalisation, SRTP pour le média, authentification digest et listes d’IP autorisées, est assuré par le point d’accès SIP de la plateforme d’agents elle-même. Chaque boîtier ajouté est aussi de la latence : chaque saut entre l’appelant et l’agent ajoute un délai que l’appelant entend, comme le couvre le guide du SIP trunking.

Le résumé honnête : un SBC est une infrastructure porteuse quand vous avez un réseau à protéger, et une surcharge quand vous n’en avez pas.

Où un SBC rencontre un agent vocal

Quand un appel atteint un agent vocal IA par un trunk SIP, le chemin est appelant, opérateur, peut-être votre SBC, le point d’accès SIP de la plateforme d’agents, puis l’agent lui-même. Les détails liés au SBC qui comptent en pratique :

Terminez le chiffrement délibérément. Les SBC sont l’endroit où TLS et SRTP commencent ou finissent le plus souvent. Un trunk qui négocie SRTP d’un côté et du RTP en clair de l’autre produit des appels qui se connectent et transportent du silence, la même panne qu’un chiffrement activé d’un seul côté.
Surveillez la traduction DTMF. Les SBC convertissent couramment les touches entre tonalités en bande et telephone-events hors bande. Si les appelants composent des chiffres et que l’agent ne les entend jamais, les réglages d’interworking DTMF du SBC sont le premier endroit où regarder.
Les transferts traversent le SBC en REFER. Quand l’agent passe un appel à une personne, la plateforme envoie un SIP REFER, et le SBC doit le laisser passer. Un trunk qui supprime les REFER transforme chaque transfert à chaud en appel coupé.
Les listes de codecs sont une politique. Un SBC peut imposer ou transcoder le codec d’un appel. Les chemins téléphoniques se stabilisent sur G.711, le codec 8 kHz qui façonne ce que la reconnaissance vocale de l’agent entend ; un SBC transcodeur sur le chemin est une chose de plus à vérifier quand la qualité de reconnaissance baisse.
La gigue (jitter) se mesure à la frontière. Les SBC rapportent des statistiques par appel, dont les chiffres de gigue RTCP que le guide de la gigue VoIP apprend à lire. Quand un appel sonne haché, le rapport du SBC est la source faisant autorité sur ce que l’autre extrémité a subi.

Sur Cartesia, les Managed Agents terminent les trunks SIP en TCP ou TLS, négocient SRTP avec un réglage media_encryption à disabled, allowed ou required, et authentifient les appels entrants par identifiants digest ou liste d’IP autorisées dès lors qu’au moins une méthode de contrôle d’accès est configurée : le point d’accès de la plateforme joue donc le rôle de sécurité du SBC sur sa propre frontière, et votre SBC existant, si vous en avez un, n’a qu’à pointer vers lui. Le guide d’intégration SIP trunking détaille la configuration, y compris les notes propres à Twilio.