セッションボーダーコントローラー（ほぼ必ずSBCと略されます）は、2つのIPネットワークが音声通話を受け渡す関所です。ネットワークの境界に置かれ、そこを通過するすべての通話のSIPシグナリングと、通常は音声メディアを終端し、何を通すかを決めます。どの呼を開始してよいか、どのコーデックを使ってよいか、どのくらいのトラフィックが多すぎるか、シグナリングとメディアが暗号化されているか、です。
ほとんどの読者への短い答えはこうです。会社ですでにPBXやキャリアのSIPトランクを運用しているなら、誰も言及していなくても、経路のどこかにほぼ確実にSBCがあり、あなたの仕事はそれを音声エージェントプラットフォームへ向けることです。音声エージェントのスタックをゼロから作るなら、ほぼ確実に購入する必要はありません。エージェントプラットフォーム自身のSIPエンドポイントが、境界におけるSBCの中核的なセキュリティ機能を担えるからです。このガイドの残りでは、あなたがどちらの状況にいるのかを判断できるよう、SBCが実際に何をするのかを説明します。
セッションボーダーコントローラーとは
SBCは、2つのIPネットワークの境界に展開され、SIPベースのリアルタイム通信を保護・制御するネットワーク要素です。Wikipediaの定義もおおむねその通りです。名前は分解すると文字通りで、「セッション」は通話、「ボーダー」はネットワーク同士の境界点、「コントローラー」はそこを通過するものに適用されるポリシーです。
この種を定義づける設計上の選択が2つあります。
- バック・トゥ・バック・ユーザーエージェント（B2BUA）であること。 メッセージを転送するSIPプロキシと違い、SBCは通話の各側を独立に終端し、反対側で発信し直します。発信者側のネットワークからはSBCしか見えず、その背後の機器は見えません。ベンダーのパンフレットに出てくる「トポロジー隠蔽」とはこのことです。
- シグナリングだけでなくメディアに触れること。 SBCはSIPパスだけでなくRTPパス上にもあるため、音声そのものを暗号化、トランスコード、計測でき、シグナリングは正常に見えてもメディアが悪質な通話を遮断できます。
SBCが最初に登場したのはキャリア同士のピアリングポイントで、互いを信用しないネットワーク同士が通話を交換する場所でした。その役割はその後、企業の電話システムとSIPトランク事業者の間という企業の境界にも広がり、今日ではそこが最も一般的な出会いの場です。
SBCの6つの仕事
ベンダーのデータシートには何十もの機能が並びますが、6つの仕事に集約されます。
| 仕事 | SBCが実際にすること |
|---|---|
| セキュリティ | DoS攻撃や不正なSIPを遮断し、不正通話を防ぎ、内部アドレスを隠し、シグナリングをTLSで、メディアをSRTPで暗号化する |
| 接続性 | NATを越え、ベンダーごとのSIPスタックの癖を正規化し、IPv4とIPv6を相互接続し、SIPの各変種とH.323などの旧プロトコルを変換する |
| QoS | 負荷に応じて呼を受け入れまたは拒否し、レート制限し、トラフィックをポリシングし、優先のためにパケットをマーキングする |
| 規制対応 | 緊急通話を優先し、必要な地域で合法傍受に対応する |
| メディアサービス | コーデック間をトランスコードし、帯域内トーンとtelephone-eventsの間でDTMFを変換し、トーンやアナウンスを再生する |
| 統計と課金 | 自然な計測点である境界で呼詳細記録を生成する |
セキュリティの行が、SBCが標準装備になった理由です。パブリックインターネットに開かれたSIPエンドポイントは数分でスキャナーに見つかり、タダ通話の試行で叩かれ続けます。誰かが門番を務めなければなりません。相互運用性の行が、SBCが残り続けた理由です。どのベンダーもSIPを少しずつ違う形で実装しており、SBCはその差異が通話を壊す前に均す場所だからです。
SBCとファイアウォールとSIPプロキシの違い
3つの箱が混同されるのは、どれもネットワークの端に置かれるからです。
| 箱 | 見えるもの | 扱うもの |
|---|---|---|
| ファイアウォール | 一般的なIPパケット | ポート、アドレス、プロトコル。通話は理解しない |
| SIPプロキシ | シグナリングのみ | INVITEを正しい宛先へルーティングする。メディアには触れない |
| SBC | シグナリングとメディア、完全な呼状態 | セキュリティポリシー、相互運用、呼制御、暗号化、トランスコード |
「SIPを通す」ファイアウォールはポート5060を開けるだけで、正当なINVITEと不正通話の試みを区別できず、INVITEの中のSDPが相手から到達できないプライベートIPを指している問題も直せません。SIPプロキシは通話をルーティングしますが保護はしません。SBCは音声を理解した上で両方の仕事をこなすので、典型的な企業の構成図ではファイアウォールと電話システムの間に置かれます。
ハードウェア、仮想、クラウド、オープンソース
SBCはラックアプライアンスとして始まり、その市場は今も残っています。OracleのAcme Packet系、AudioCodesのMediantシリーズ、RibbonのSWeラインが企業の発注書に並ぶ名前で、Ciscoのルーターに組み込まれたボーダー要素であるCUBEは、Ciscoショップにおける静かな定番です。同じ機能は今や仮想マシン、クラウドネイティブなマイクロサービス、セッション単位のマネージドサービスとしても提供され、今日の「SBC」は箱というよりライセンスであることが多くなっています。
オープンソース側では、KamailioやOpenSIPSがシグナリングの役割を担い、通常はメディア用のRTPEngineと組み合わせ、運用する気のあるチームにとっては商用SBCの仕事の大部分をカバーします。キャリアや大規模プラットフォームには現実的な選択肢ですが、ただ通話をエージェントに届けたいだけのチームにとっては、めったに正解になりません。
本当に必要ですか？
ほぼすべての人が当てはまる状況は3つです。
- すでに持っている場合。 会社がPBXやキャリアのSIPトランクを運用しているなら、境界にSBC（またはCUBE、またはキャリア自身のもの）があり、仕事をしています。それを境界点として維持し、音声エージェントを追加するときにエージェントプラットフォームのSIPエンドポイントへ向けてください。
- キャリアが持っている場合。 すべてのトランク事業者は自社の境界でSBCを運用しています。それは従量課金が買うものの一部です。2つのキャリアのSBC同士の通話は例外ではなく普通の形です。
- 音声エージェントを新規に構築する場合。 守るべき既存の電話システムがなければ、アプライアンス型のSBCは不要なホップです。それが担うはずのセキュリティの仕事、つまりシグナリングのTLS、メディアのSRTP、ダイジェスト認証、送信元IP許可リストは、エージェントプラットフォーム自身のSIPエンドポイントの機能です。挿入する箱はすべてレイテンシでもあり、発信者とエージェントの間のホップはそれぞれ、発信者に聞こえる遅延を足します。SIPトランキングガイドでも触れています。
正直なまとめ：守るべきネットワークがあるならSBCは荷重を支えるインフラであり、ないなら過剰な重荷です。
SBCと音声エージェントが出会う場所
通話がSIPトランク経由でAI音声エージェントに届くときの経路は、発信者、キャリア、場合によってはあなたのSBC、エージェントプラットフォームのSIPエンドポイント、そしてエージェント本体です。実務で重要になるSBC関連のポイントは次の通りです。
- 暗号化の終端を意図的に決める。 TLSとSRTPが始まり終わりするのはたいていSBCです。片側でSRTP、もう片側で平文RTPをネゴシエートするトランクは、接続はするのに無音を運ぶ通話を生みます。片側だけで暗号化を有効にした場合と同じ障害です。
- DTMF変換に注意する。 SBCはキー入力を帯域内トーンと帯域外telephone-eventsの間で日常的に変換します。発信者が数字を押してもエージェントに聞こえない場合、最初に見るべきはSBCのDTMFインターワーキング設定です。
- 転送はREFERとしてSBCを越える。 エージェントが通話を人へ渡すとき、プラットフォームはSIP REFERを送り、SBCはそれを通さなければなりません。REFERを剥がすトランクは、すべてのウォームトランスファーを切断に変えます。
- コーデックリストはポリシー。 SBCは通話のコーデックを強制したりトランスコードしたりできます。電話経路はG.711に落ち着きます。これはエージェントの音声認識が聞くものを形作る8kHzのコーデックです。経路中にトランスコードするSBCがあることは、認識品質が落ちたときにもう1つ確認すべき点です。
- ジッターは境界で測れる。 SBCは通話ごとの統計を報告し、そこにはVoIPジッターガイドが読み方を教えるRTCPジッターの数値も含まれます。通話が途切れて聞こえるとき、SBCのレポートが向こう側の体験についての権威ある情報源です。
Cartesiaでは、Managed AgentsがSIPトランクをTCPまたはTLSで終端し、media_encryption設定のdisabled、allowed、requiredでSRTPをネゴシエートし、少なくとも1つのアクセス制御方法を設定した上で、着信をダイジェスト認証またはIP許可リストで認証します。つまりプラットフォームのエンドポイント自身が自社境界でSBCのセキュリティ役を果たし、既存のSBCがある場合はそれをそこへ向けるだけで済みます。SIPトランキング連携ガイドが、Twilio固有の注意点を含め、設定手順を案内しています。