セッションボーダーコントローラ

セッションボーダーコントローラ（SBC ）は、 SIPベースのVoIP（ Voice over Internet Protocol ）ネットワークを保護するために導入されるネットワーク要素です。^[1]

SBC の初期の導入は、ピアリング環境における 2 つのサービス プロバイダー ネットワーク間の境界に重点を置いていました。この役割は現在、サービス プロバイダーのアクセス ネットワークとバックボーン ネットワーク間の重要な導入にまで拡大し、住宅や企業の顧客にサービスを提供しています。^[2]

「セッション」という用語は、2 つ以上の当事者間の通信を指します。電話のコンテキストでは、これは通話になります。各通話は、通話を制御する 1 つ以上の通話シグナリ​​ング メッセージ交換と、通話のオーディオ、ビデオ、またはその他のデータと通話統計および品質の情報を伝送する 1 つ以上の通話メディア ストリームで構成されます。これらのストリームが一緒になってセッションを構成します。セッションのデータ フローに影響を与えるのは、セッション ボーダー コントローラの役割です。

「境界」という用語は、ネットワークの一部と別の部分との境界点を指します。簡単な例として、企業ネットワークのエッジでは、ファイアウォールがローカル ネットワーク (企業内) とインターネットの残りの部分 (企業外) を区別します。より複雑な例としては、さまざまな部門が場所ごとに、また場合によってはデータの種類ごとにセキュリティ ニーズを持つ大企業があります。この場合、フィルタリング ルーターまたはその他のネットワーク要素を使用して、データ ストリームのフローを制御します。セッション境界コントローラの役割は、ポリシー管理者がこれらの境界を越えたセッション データ フローを管理するのを支援することです。

「コントローラ」という用語は、セッション ボーダー コントローラがネットワークの一部と別の部分の間の境界を通過するときに、セッションを構成するデータ ストリームに与える影響を指します。さらに、セッション ボーダー コントローラは、制御する呼び出しに対して、測定、アクセス制御、およびデータ変換機能を提供することがよくあります。

SBC は通常、完全なセッション状態を維持し、次の機能を提供します。

• セキュリティ– ネットワークとその他のデバイスを以下から保護します。
  • サービス拒否攻撃（DoS）や分散型DoSなどの悪意のある攻撃
  • 不正なメディアストリームによる通話料詐欺
  • 不正なパケットの保護
  • シグナリング（TLSおよびIPSec経由）およびメディア（SRTP）の暗号化
• 接続性 - 次のようなさまざまな技術を使用して、ネットワークのさまざまな部分が通信できるようにします。
  • NATトラバーサル
  • SIPメッセージとヘッダーの操作によるSIP正規化
  • IPv4 から IPv6 への相互接続
  • VPN接続
  • SIP、SIP-I、H.323間のプロトコル変換
• サービス品質- ネットワークの QoS ポリシーとフローの優先順位付けは通常、SBC によって実装されます。次のような機能が含まれます。
  • 交通取り締まり
  • リソースの割り当て
  • レート制限
  • 通話許可制御
  • ToS / DSCPビット設定
• 規制 – 多くの場合、SBC は次のような規制要件に対するサポートを提供することが求められます。
  • 緊急通報の優先順位付けと
  • 合法的な傍受
• メディア サービス - 新世代の SBC の多くには、次のような境界ベースのメディア制御とサービスを提供できるように、デジタル信号プロセッサ (DSP) も組み込まれています。
  • DTMFリレーとインターワーキング
  • メディアトランスコーディング
  • トーンとアナウンス
  • データとファックスの相互運用
  • 音声通話とビデオ通話のサポート
• 統計情報と課金情報 – ネットワークのエッジを通過するすべてのセッションは SBC を通過するため、これらのセッションに関する統計情報と使用状況ベースの情報を収集するのは自然なことです。

WebRTCの登場により、一部のSBCはSIPからWebRTCへのゲートウェイの役割も担い、SIPを変換するようになりました。WebRTC仕様では特定のシグナリングプロトコルは規定されていませんが、^[3] SIP over WebSockets (RFC 7118)は、想定される通信シナリオのほとんどにSIPが適用可能であることや、 JsSIPなどのオープンソースソフトウェアが利用できることから、よく使用されます。このような場合、SBCはWebRTCアプリケーションとSIPエンドポイント間のゲートウェイとして機能します。

SBC は、主にセッション開始プロトコル(SIP)、H.323、およびMGCPコール シグナリング プロトコルを 使用する VoIP コールの発信側と着信側の間のシグナリング パスやメディア パスに挿入されます。

多くの場合、SBC はネットワーク トポロジを隠し、サービス プロバイダーまたはエンタープライズ パケット ネットワークを保護します。SBC は着信コールを終了し、宛先パーティへの 2 番目のコール レグを開始します。技術的には、SIP プロトコルで使用される場合、これはバックツーバック ユーザー エージェント(B2BUA) を定義します。この動作の影響として、シグナリング トラフィックだけでなく、メディア トラフィック (音声、ビデオ) も SBC によって制御されます。SBC にメディア サービスを提供する機能がない場合、SBC は、録音、保留音の生成、またはその他のメディア関連の目的で、ネットワーク内の別の要素にメディア トラフィックをリダイレクトすることもできます。逆に、SBC がない場合、メディア トラフィックはエンドポイント間を直接移動し、ネットワーク内のコール シグナリング要素はパスを制御できません。

その他の場合、SBC は各通話に関係する通話制御 (シグナリング) データのストリームを変更するだけで、実行可能な通話の種類を制限したり、コーデックの選択を変更したりします。最終的に、SBC により、ネットワーク オペレータはネットワーク上で行われる通話を管理し、相互運用性を実現するためにプロトコルとプロトコル構文を修正または変更し、ファイアウォールとネットワーク アドレス変換(NAT) が VoIP 通話にもたらす問題の一部を克服できます。

SBC の動作を示すために、単純な通話確立シーケンスと SBC を使用した通話確立シーケンスを比較することができます。^[4] ユーザーエージェント間にプロキシが 1 つだけの最も単純なセッション確立シーケンスでは、プロキシのタスクは、呼び出し先の場所を識別し、要求を転送することです。プロキシはまた、応答が通過するパスを示すために、独自のアドレスを含む Via ヘッダーを追加します。プロキシは、From ヘッダーのタグ、Call-Id、Cseq など、メッセージ内に存在するダイアログ識別情報を変更しません。プロキシは、SIP メッセージ本文の情報も変更しません。セッション開始フェーズ中に、ユーザーエージェントは、エージェントがメディアトラフィックを期待するアドレスを含む SDP 本文を含む SIP メッセージを交換することに注意してください。セッション開始フェーズが正常に終了すると、ユーザーエージェントはプロキシを介さずにメディアトラフィックを直接交換できます。

SBC は多くのアプリケーション向けに設計されており、オペレータや企業がさまざまな目標を達成するために使用されています。同じ SBC 実装であっても、構成や使用例によって動作が異なる場合があります。したがって、すべての SBC 実装に適用される正確な SBC 動作を説明することは容易ではありません。一般に、SBC に共通する特定の機能を識別することは可能です。たとえば、ほとんどの SBC はバックツーバック ユーザー エージェントとして実装されています。B2BUA は、SIP トランザクションを 2 つのコール レグに分割するプロキシのようなサーバーです。ユーザー エージェント クライアント (UAC) 側ではサーバーとして機能し、ユーザー エージェント サーバー (UAS) 側ではクライアントとして機能します。プロキシは通常、アクティブなトランザクションに関連する状態情報のみを保持しますが、B2BUA はアクティブなダイアログ (通話など) に関する状態情報を保持します。つまり、プロキシは SIP 要求を受信すると、いくつかの状態情報を保存します。トランザクションが終了すると (応答を受信した後など)、状態情報はすぐに削除されます。 B2BUA はアクティブな通話の状態情報を維持し、通話が終了した後にのみこの情報を削除します。

SBC がコール パスに含まれている場合、SBC は発信者に対してはユーザー エージェント サーバーとして、着信者に対してはユーザー エージェント クライアントとして動作する B2BUA として機能します。この意味で、SBC は実際には発信者によって生成されたコールを終了し、着信者に対して新しいコールを開始します。SBC によって送信された INVITE メッセージには、発信者への明確な参照が含まれなくなります。SBC からプロキシに送信された INVITE には、発信者ではなく SBC 自体を指す Via ヘッダーと Contact ヘッダーが含まれます。SBC は多くの場合、Call-Id タグと From タグにリストされているダイアログ識別情報も操作します。さらに、SBC がメディア トラフィックも制御するように構成されている場合、SBC は SDP 本文の c 行と m 行に含まれるメディア アドレス指定情報も変更します。これにより、すべての SIP メッセージだけでなく、すべてのオーディオ パケットとビデオ パケットも SBC を通過することになります。 SBC によって送信された INVITE によって新しいダイアログが確立されると、SBC はメッセージ シーケンス番号 (CSeq) と Max-Forwards 値も操作します。ここでリストされているヘッダー操作のリストは、SBC が SIP メッセージに導入する可能性のある変更のサブセットにすぎないことに注意してください。さらに、一部の SBC はリストされているすべての操作を実行しない場合があります。SBC がメディア トラフィックを制御することが想定されていない場合は、SDP 本文を変更する必要がない場合があります。一部の SBC はダイアログ識別情報を変更せず、他の SBC はアドレス情報さえ変更しない場合があります。

SBC は、企業でファイアウォールや侵入防止システム(IPS)とともに使用されることが多く、保護された企業ネットワークとの間で VoIP 通話を可能にします。VoIP サービス プロバイダーは、NAT を使用したインターネット接続を持つプライベート ネットワークから VoIP プロトコルを使用できるようにするために SBC を使用し、高品質のサービスを維持するために必要な強力なセキュリティ対策も実装します。SBC は、アプリケーション レベル ゲートウェイの機能も置き換えます。^[5]大規模な企業では、SBC を SIP トランクと組み合わせて使用​​して、通話制御を提供し、通話が LAN/WAN 経由でルーティングされる方法に関するルーティング/ポリシー決定を行うこともできます。従来の回線交換電話ネットワークを介して通話をルーティングするのではなく、企業の内部 IP ネットワークを介してトラフィックをルーティングすると、多くの場合、莫大なコストを節約できます。

さらに、一部の SBC では、異なる VoIP シグナリング プロトコル (SIP、H.323、Megaco /MGCP など) を使用して 2 台の電話間で VoIP 通話を設定できるほか、異なるコーデックが使用されている場合にメディア ストリームのトランスコーディングを実行できます。ほとんどの SBC は、VoIP トラフィック用のファイアウォール機能 (サービス拒否保護、通話フィルタリング、帯域幅管理) も提供します。プロトコルの正規化とヘッダー操作も SBC によって一般的に提供されており、異なるベンダーやネットワーク間の通信を可能にします。

IP マルチメディア サブシステム(IMS) または 3GPP (第 3 世代パートナーシップ プロジェクト) アーキテクチャの観点から見ると、SBC は、アクセス側のシグナリング プレーンのP-CSCFと IMS- ALGおよびメディア プレーンの IMS アクセス ゲートウェイの統合です。相互接続側では、SBC はシグナリング プレーンの IBCF、IWF、およびメディア プレーンの TrGW (移行ゲートウェイ) にマップされます。

IMS/ TISPANアーキテクチャの観点から見ると、SBC はアクセス側の P- CSCFおよび C-BGF 機能と、ピアリング側の IBCF、IWF、THIG、および I-BGF 機能の統合です。一部の SBC は「分解」できます。つまり、シグナリング機能をメディア リレー機能とは別のハードウェア プラットフォームに配置できます。つまり、P-CSCF を C-BGF から分離したり、IBCF/IWF を I-BGF 機能から物理的に分離したりできます。H.248 Ia プロファイルなどの標準ベースのプロトコルは、シグナリング プラットフォームでメディア プロトコルを制御するために使用できますが、いくつかの SBC では独自のプロトコルが使用されます。

SBC の概念は、初期段階では、エンドツーエンドシステムとピアツーピアネットワーキングの支持者の間で次のような理由で議論の的となっていました。

• SBC は、メディア パス (メディア パケットがネットワークを通過する経路) の長さを大幅に延長できます。メディア パスが長いと、音声パケットの遅延とパケット損失の可能性が増大するため、望ましくありません。どちらの影響も音声/ビデオの品質を低下させます。ただし、多くの場合、通話相手の間にファイアウォールなどの通信障害があり、このような場合、SBC は、発信者と着信者の間の許容可能なパスにメディア ストリームを誘導する効率的な方法を提供します。SBC がなければ、通話メディアはブロックされます。一部の SBC は、通話の終了が同じサブネットワーク内にあるかどうかを検出し、メディアの制御を解放してクライアント間で直接流れるようにすることができます。これは、アンチトロンボーンまたはメディア リリースです。また、一部の SBC は、通常は存在が許可されないメディア パスを作成できます (2 つのエンドポイント間のさまざまなファイアウォールやその他のセキュリティ装置による)。最後に、サービス プロバイダーがネットワークを所有する特定の VoIP ネットワーク モデルでは、SBC はショートカット ルーティング アプローチによってメディア パスを実際に短縮できます。たとえば、複数の企業にトランキング サービスを提供するサービス プロバイダーは、通常、各企業に VPN を割り当てます。SBC を介して VPN を相互接続するオプションが望ましい場合がよくあります。VPN 対応の SBC は、すべてのトラフィックをコアに送信するのではなく、VPN ネットワークのエッジでこの機能を実行できます。
• SBC は通話エンドポイント間の情報の流れを制限する可能性があり、エンドツーエンドの透明性が低下する可能性があります。VoIP 電話は、SBC が理解できない限り、新しいプロトコル機能を使用できない場合があります。ただし、SBC は通常、新しい予期しないプロトコル機能のほとんどに対応できます。
• SBC にキーがない場合、エンドツーエンドの暗号化が使用できないことがあります。ただし、暗号化された通話の情報ストリームの一部は暗号化されていないため、SBC はそれらの部分を使用したり、影響を与えたりすることができます。ただし、十分なコンピューティング能力を備えた新世代の SBC は、SIP-TLS、IPsec、および/または SRTP を終了させることで、ネットワーク内の他の要素からこの暗号化機能をオフロードできます。さらに、SBC は、特定のプロトコルの「正規化」または「修正」を実行することで、以前はできなかった通話やその他の SIP シナリオを実際に機能させることができます。
• ほとんどの場合、 VoIP 電話がSTUN、TURN、ICE、またはユニバーサル プラグ アンド プレイ(UPnP) などのプロトコルをサポートしていれば、遠端またはホストされたNAT トラバーサルはSBC なしで実行できます。

SBC をめぐる論争のほとんどは、コール制御がコールの 2 つのエンドポイント (所有者向け) のみに留まるべきか、それとも 2 つのコール エンドポイントの接続に関係するさまざまなネットワークを管理する組織が所有する他のネットワーク要素と共有されるべきかという点に関係しています。たとえば、コール制御はAlice と Bob (2 人の発信者) に留まるべきか、それとも Alice と Bob の VoIP 電話の接続に関係するすべての IP ネットワークのオペレータでコール制御を共有するべきかという点です。この点に関する議論は、本質的には熱烈で、ほとんど宗教的なものでした。エンドポイントのみで自由な制御を望んでいた人たちは、ファイアウォールやフィルタリング/スロットリングなど、現代のネットワークのさまざまな現実にも大いに不満を抱いていました。一方、ネットワーク オペレータは通常、ネットワーク全体のパフォーマンス、相互運用性、品質に関心があり、ネットワークのセキュリティを確保したいと考えています。

アメリカでは、合法的な傍受は法執行のための通信支援法(CALEA) によって規制されています。

SBC は、セッション メディア (通常はRTP ) およびシグナリング (多くの場合SIP )盗聴サービスを提供することがあります。プロバイダーはこれを使用して、ネットワーク セッションの合法的な傍受要求を強制することができます。このようなサービスの傍受に関する標準は、 ATIS、TIA、CableLabs、ETSIなどによって提供されています。

RFC 3261 (SIP) および多数の関連 RFC の著者である Jonathan Rosenberg によると、Dynamicsoft は Aravox と共同で最初の実用的な SBC を開発したが、この製品は実際には市場シェアを獲得することはなかった。^[要出典] Newport Networks は 2004 年 5 月にロンドン証券取引所の AIM で IPO を行った最初の企業であり (NNG)、Cisco は 1990 年から株式を公開している。Acme Packet は 2006 年 10 月に NASDAQ に上場した。買収によって市場が狭まると、NexTone は Reefpoint と合併して Nextpoint となり、Nextpoint はその後 2008 年にGenbandに買収された。これと同時期に、境界制御機能が別のエッジ デバイスに統合された「統合型」SBC が登場した。

VoIP ネットワークの継続的な成長により、SBC はさらにエッジへと押し進められ、容量と複雑さの適応が必須となっています。VoIP ネットワークが成長し、トラフィック量が増加するにつれて、SBC を通過するセッションはますます増えています。ベンダーは、さまざまな方法でこれらの新しいスケール要件に対応しています。一部のベンダーは、SBC クラスターの前に配置するための個別の負荷分散システムを開発しました。他のベンダーは、最新世代のチップセットを使用して新しいアーキテクチャを開発し、サービス カードを使用してより高性能な SBC とスケーラビリティを提供しています。

• 3GPP ロングタームエボリューション(LTE)
• ファイアウォール（コンピューティング）
• H.323 ゲートキーパー
• IP マルチメディア サブシステム(IMS)
• セッション開始プロトコル(SIP)
• SIPトランキング
• ユニバーサルモバイルテレコミュニケーションシステム(UMTS)