Um session border controller, quase sempre abreviado para SBC, é o posto de controle onde duas redes IP se entregam chamadas de voz. Ele fica na borda de uma rede, termina a sinalização SIP e, em geral, o áudio de cada chamada que o cruza, e decide o que pode passar: quais chamadas podem começar, quais codecs podem usar, quanto tráfego é demais e se a sinalização e a mídia vão criptografadas.
A resposta curta para a maioria dos leitores: se a sua empresa já opera um PBX ou troncos SIP com uma operadora, quase certamente existe um SBC em algum ponto do caminho, mesmo que ninguém tenha mencionado, e o seu trabalho é apontá-lo para a sua plataforma de agentes de voz. Se você está montando um stack de agentes de voz do zero, quase certamente não precisa comprar um, porque o endpoint SIP da própria plataforma pode fazer o trabalho de segurança central de um SBC na borda. O resto deste guia explica o que um SBC realmente faz, para você saber em qual situação está.
O que é um session border controller
Um SBC é um elemento de rede implantado na fronteira entre duas redes IP para proteger e controlar as comunicações em tempo real baseadas em SIP, como diz a definição da Wikipédia. O nome é literal uma vez decomposto: uma “sessão” é uma chamada, a “fronteira” é o ponto de demarcação entre uma rede e outra, e o “controlador” é a política aplicada sobre o que a cruza.
Duas escolhas de projeto definem a espécie:
- Ele é um back-to-back user agent (B2BUA). Ao contrário de um proxy SIP, que encaminha mensagens, um SBC termina cada lado da chamada de forma independente e a reorigina do outro. A rede do chamador só enxerga o SBC, nunca o equipamento atrás dele, que é o que “ocultação de topologia” significa nos folhetos dos fornecedores.
- Ele toca a mídia, não só a sinalização. Um SBC está no caminho do RTP além do SIP, então pode criptografar, transcodificar e medir o próprio áudio, e cortar chamadas cuja sinalização parece correta mas cuja mídia é abusiva.
Os SBCs surgiram nos pontos de peering entre operadoras, onde redes com desconfiança mútua trocam chamadas. O papel se expandiu depois para a borda da empresa, entre o sistema telefônico da companhia e o fornecedor de tronco SIP, que é onde a maioria das pessoas os encontra hoje.
O que um SBC faz
As fichas dos fornecedores listam dezenas de funções, que se agrupam em seis trabalhos:
| Trabalho | O que o SBC realmente faz |
|---|---|
| Segurança | Bloqueia inundações de negação de serviço e SIP malformado, impede fraude telefônica, esconde endereços internos, criptografa a sinalização com TLS e a mídia com SRTP |
| Conectividade | Atravessa NAT, normaliza as diferenças entre as pilhas SIP de cada fornecedor, interliga IPv4 e IPv6, traduz entre variantes de SIP e protocolos antigos como H.323 |
| Qualidade de serviço | Admite ou rejeita chamadas conforme a carga, limita taxas, fiscaliza o tráfego, marca pacotes para prioridade |
| Regulamentação | Prioriza chamadas de emergência, atende à interceptação legal onde exigida |
| Serviços de mídia | Transcodifica entre codecs, converte DTMF entre tons em banda e telephone-events, reproduz tons e anúncios |
| Estatísticas e cobrança | Produz registros de chamadas no ponto de medição natural, a fronteira |
A linha de segurança é a razão pela qual os SBCs viraram equipamento padrão. Um endpoint SIP aberto na internet pública é encontrado por scanners em poucos minutos e bombardeado com tentativas de chamadas grátis, então alguém precisa ser o segurança da porta. A linha de interoperabilidade é a razão pela qual ficaram: cada fornecedor implementa SIP de um jeito um pouco diferente, e o SBC é onde essas diferenças se resolvem antes de derrubar chamadas.
SBC versus firewall versus proxy SIP
As três caixas se confundem porque todas ficam nas bordas da rede:
| Caixa | Enxerga | Atua sobre |
|---|---|---|
| Firewall | Pacotes IP genéricos | Portas, endereços, protocolos, sem entender as chamadas |
| Proxy SIP | Só a sinalização | Encaminha os INVITE ao destino certo; nunca toca a mídia |
| SBC | Sinalização e mídia, com o estado completo da chamada | Política de segurança, interoperabilidade, controle de admissão, criptografia, transcodificação |
Um firewall que “passa SIP” apenas abre a porta 5060; não sabe distinguir um INVITE legítimo de uma tentativa de fraude, e não consegue consertar o fato de que o SDP dentro do INVITE nomeia um IP privado que o outro lado não alcança. Um proxy SIP encaminha chamadas mas não as protege. O SBC é quem faz os dois trabalhos com consciência de voz, e é por isso que ele fica entre o firewall e o sistema telefônico no diagrama típico de uma empresa.
Hardware, virtual, nuvem e código aberto
Os SBCs começaram como appliances de rack, e esse mercado continua aqui: a linhagem Acme Packet da Oracle, a série Mediant da AudioCodes e a família SWe da Ribbon são os nomes na maioria dos pedidos de compra empresariais, e o CUBE da Cisco, o border element embutido nos seus roteadores, é o titular silencioso nas lojas Cisco. As mesmas funções chegam agora como máquinas virtuais, microsserviços cloud-native e serviços gerenciados por sessão, então “um SBC” hoje é mais vezes uma licença do que uma caixa.
No lado do código aberto, Kamailio e OpenSIPS cobrem o papel de sinalização, normalmente combinados com RTPEngine para a mídia, e cobrem boa parte do que um SBC comercial faz para equipes dispostas a operá-los. São uma opção real para operadoras e grandes plataformas; raramente são a resposta certa para uma equipe que só quer que suas chamadas cheguem a um agente.
Você realmente precisa de um?
Três situações cobrem quase todo mundo que pergunta:
- Você já tem um. Se a sua empresa opera um PBX ou troncos SIP com uma operadora, há um SBC (ou um CUBE, ou o da própria operadora) na borda, e ele está fazendo o seu trabalho. Mantenha-o como ponto de demarcação e aponte-o para o endpoint SIP da plataforma de agentes quando adicionar agentes de voz.
- A sua operadora tem um. Todo fornecedor de troncos opera SBCs na própria borda; é parte do que a tarifa por minuto compra. Chamadas entre os SBCs de duas operadoras são o caso normal, não a exceção.
- Você está construindo agentes de voz do zero. Se não há um sistema telefônico legado para proteger, um SBC appliance é um salto de que você não precisa. O trabalho de segurança que ele faria, TLS para a sinalização, SRTP para a mídia, autenticação digest e listas de IPs permitidos, é feito pelo endpoint SIP da própria plataforma de agentes. Cada caixa que você insere também é latência: cada salto entre o chamador e o agente adiciona um atraso que o chamador ouve, como cobre o guia de SIP trunking.
O resumo honesto: um SBC é infraestrutura de sustentação quando você tem uma rede para proteger, e sobrecarga quando não tem.
Onde um SBC encontra um agente de voz
Quando uma chamada chega a um agente de voz com IA por um tronco SIP, o caminho é chamador, operadora, talvez o seu SBC, o endpoint SIP da plataforma de agentes e, por fim, o próprio agente. Os detalhes ligados ao SBC que importam na prática:
- Termine a criptografia deliberadamente. Os SBCs são onde TLS e SRTP costumam começar ou terminar. Um tronco que negocia SRTP de um lado e RTP em claro do outro produz chamadas que conectam e carregam silêncio, a mesma falha de ativar a criptografia só de um lado.
- Observe a tradução de DTMF. Os SBCs convertem rotineiramente as teclas entre tons em banda e telephone-events fora de banda. Se os chamadores digitam e o agente nunca ouve, as configurações de interworking de DTMF do SBC são o primeiro lugar a olhar.
- Transferências cruzam o SBC como REFER. Quando o agente passa uma chamada para uma pessoa, a plataforma envia um SIP REFER, e o SBC precisa deixá-lo passar. Um tronco que remove REFERs transforma toda transferência assistida em uma chamada caída.
- Listas de codecs são política. Um SBC pode forçar ou transcodificar o codec de uma chamada. Os caminhos telefônicos se estabelecem em G.711, o codec de 8 kHz que molda o que o reconhecimento de voz do agente ouve; um SBC transcodificador no caminho é mais uma coisa a verificar quando a qualidade do reconhecimento cai.
- O jitter se mede na fronteira. Os SBCs reportam estatísticas por chamada, incluindo os números de jitter RTCP que o guia de jitter VoIP ensina a ler. Quando uma chamada soa picotada, o relatório do SBC é a fonte autorizada do que o outro lado sofreu.
Na Cartesia, os Managed Agents terminam troncos SIP sobre TCP ou TLS, negociam SRTP com um ajuste media_encryption de disabled, allowed ou required, e autenticam chamadas de entrada com credenciais digest ou uma lista de IPs permitidos uma vez configurado pelo menos um método de controle de acesso: o endpoint da plataforma desempenha assim o papel de segurança do SBC na sua própria borda, e o seu SBC existente, se você tiver um, só precisa apontar para ele. O guia de integração de SIP trunking percorre a configuração, incluindo as notas específicas da Twilio.