מה זה SBC (Session Border Controller) ומתי העסק צריך אותו

מה זה SBC? SBC (Session Border Controller), בעברית בקר גבולות שיחה, הוא רכיב חומרה או תוכנה שיושב בנקודת המפגש בין רשת הטלפוניה של העסק לבין ספק התקשורת או האינטרנט. הוא מאשר רק שיחות מורשות, מסתיר את מבנה הרשת הפנימית, מתקן בעיות NAT, מצפין שיחות ומתרגם בין קודקים, וכך מגן על המרכזיה מפריצות, מגניבת שיחות ומהתקפות מניעת שירות.

עיקרי הדברים

• SBC הוא חומת אש ייעודית לשיחות: הוא מבין את פרוטוקול SIP ואת זרם הקול (RTP), דבר שחומת אש רגילה לא עושה.
• תפקידי ה-SBC מתוארים במסמך RFC 5853 של קהילת התקנים IETF: הסתרת טופולוגיה, ניהול מדיה, תיקון אי-תאימות, מעבר NAT, בקרת גישה, תיקון פרוטוקול והצפנת מדיה.
• עסק עם מרכזיה מקומית שמחוברת לקווי SIP דרך האינטרנט הוא המקרה הקלאסי שבו כדאי SBC.
• חיבור Microsoft Teams לקווי טלפון בשיטת Direct Routing נתמך על ידי Microsoft רק עם SBC מאושר.
• במרכזיה בענן ה-SBC נמצא ברשת הספק, ולכן העסק בדרך כלל לא קונה SBC משלו.

SBC הוא רכיב אבטחה ותאימות בתוך פתרון קווים רחב יותר. את ההסבר המלא על הקווים עצמם, הערוצים והספקים תמצאו במדריך SIP Trunk.

מה SBC עושה בפועל בכל שיחה?

כל שיחת VoIP בנויה משני חלקים: איתות (Signaling) בפרוטוקול SIP, שקובע מי מתקשר למי ובאיזה קודק, וזרם הקול עצמו (RTP), שעובר בנפרד ובפורטים שנקבעים תוך כדי השיחה. ה-SBC יושב באמצע שני החלקים. מבחינת הספק, השיחה מסתיימת ב-SBC, ומבחינת המרכזיה, השיחה מתחילה בו. בפועל נוצרות שתי שיחות נפרדות, אחת מכל צד, וה-SBC מחבר ביניהן תחת כללים שהעסק קובע.

המבנה הזה מאפשר לו לבצע את הפעולות שמפורטות במסמך RFC 5853 של IETF, שמתאר את הדרישות מפריסות SBC:

• בקרת גישה: רק כתובות IP של הספק ושל השלוחות המורשות יכולות לשלוח בקשות SIP. בקשה מכל מקור אחר נזרקת עוד לפני שהיא מגיעה למרכזיה.
• הגנה מגניבת שיחות (Toll Fraud): הגבלת קצב, חסימת יעדים יקרים, הגבלת מספר שיחות בו זמנית והתראה על דפוס חיוג חריג. זו ההגנה מהתרחיש שבו פורץ מנצל שלוחה כדי לחייג ליעדי פרימיום בחו"ל על חשבון העסק.
• הגנה מהתקפות מניעת שירות (DoS): זיהוי הצפה של בקשות SIP וחסימת המקור, כדי שהקווים לא יקרסו.
• הסתרת טופולוגיה: הכתובות הפנימיות של המרכזיה והטלפונים לא יוצאות החוצה בכותרות ההודעות.
• מעבר NAT: תיקון הכתובות שנמצאות בתוך הודעת SIP ובתיאור המדיה (SDP), שנתב רגיל לא מתרגם.
• המרת קודקים (Transcoding): כשהמרכזיה עובדת בקודק אחד והספק או Teams בקודק אחר, ה-SBC מתרגם ביניהם.
• תיקון פרוטוקול: מערכות שונות מממשות SIP בצורה מעט שונה. ה-SBC משכתב כותרות ופורמטים של מספרים כדי ששני הצדדים יבינו זה את זה.
• תיעוד: רישום של כל ניסיון חיבור ושל כל שיחה, שמשמש לאיתור תקלות ולחקירת אירוע אבטחה.

הגדלהשאלה על התרשים?שאלו מהנדס בוואטסאפ

בקר גבולות שיחה (SBC, Session Border Controller) יושב בגבול שבין מרכזיית הטלפון לספק או לאינטרנט ומגן על שיחות SIP מפני הונאות ומתקפות. האינפוגרפיקה מציגה שישה תפקידים מעשיים: חציצה (Demarcation) כנקודת גבול מבוקרת, הסתרת טופולוגיה (Topology Hiding) של כתובות הרשת הפנימית, מניעת הונאות שיחות (Toll Fraud), הגנה מפני מניעת שירות (DoS), הצפנת האיתות ב-TLS והקול ב-SRTP, ותרגום פרוטוקולים, מקודדים (Codec) ומעבר NAT. זו חלוקה מעשית, ומסמך RFC 5853 מחלק את אותן פעולות לשבע קטגוריות טכניות. בניגוד לחומת אש רגילה, שבודקת כתובות, פורטים וחיבורים, ה-SBC מבין את תוכן הודעות SIP ומנהל את השיחה מקצה לקצה.

במה SBC שונה מחומת אש או מנתב רגיל?

חומת אש מסננת חבילות לפי כתובת ופורט, ונתב עם NAT מתרגם רק את כותרות ה-IP. הבעיה היא שב-SIP הכתובות והפורטים של הקול כתובים בתוך תוכן ההודעה, והפורטים נקבעים מחדש בכל שיחה. לכן חומת אש רגילה נאלצת לפתוח טווח פורטים רחב, ונתב רגיל משאיר כתובות פנימיות שגויות בתוך ההודעה. התוצאה המוכרת היא שיחה שבה צד אחד שומע וצד שני לא.

SBC לא מחליף את חומת האש של הרשת. חומת האש ממשיכה להגן על המחשבים והשרתים, וה-SBC מטפל בתעבורת הקול. הרבה פעמים פונים אלינו עסקים עם תקלה של קול בכיוון אחד אחרי שהפעילו בנתב את SIP ALG, פונקציה שמנסה לתקן SIP ולעיתים קרובות משבשת אותו. במקרים כאלה הצעד הראשון הוא אבחון: לבדוק אם הבעיה היא הגדרת נתב, רוחב פס או תרגום כתובות, ורק אחר כך להחליט אם נדרש SBC.

מתי עסק צריך SBC משלו?

ההחלטה תלויה בשאלה אחת: איפה נמצאת המרכזיה. אם המרכזיה נמצאת אצלכם, במשרד או על שרת שאתם מנהלים בענן ציבורי, נקודת הגבול היא שלכם, וההגנה עליה היא באחריותכם. אלה המצבים שבהם SBC משלכם מוצדק:

• מרכזיית IP מקומית שמחוברת לקווי SIP: המרכזיה חשופה לאינטרנט, וכל שלוחה עם סיסמה חלשה היא פתח לגניבת שיחות.
• שרת טלפוניה או חייגן שפיתחתם בעצמכם: מערכת שרצה על שרת וירטואלי ומקבלת קווי SIP ישירות צריכה שכבת הגנה מול הספק, במיוחד כשיש בה עשרות שיחות במקביל.
• Microsoft Teams בשיטת Direct Routing: לפי רשימת ה-SBC המאושרים של Microsoft, החברה תומכת בחיבור הזה רק כשמשתמשים בדגם ובגרסת קושחה שאושרו.
• כמה ספקים או כמה סניפים: SBC מרכזי מנתב בין ספקים, מעביר שיחות לספק גיבוי בתקלה ומאחד את חיבורי הסניפים.
• עובדים מרחוק עם טלפונים שמתחברים למרכזיה המקומית: ה-SBC מאפשר להם להתחבר מבחוץ בלי לחשוף את המרכזיה עצמה.

לעומת זאת, עסק שהטלפוניה שלו כולה בשירות מרכזיה בענן לא מחזיק נקודת גבול משלו. השלוחות מתחברות ישירות לרשת הספק, וה-SBC של הספק הוא שמגן עליהן. סוגי המרכזיות ודרכי הבחירה לפי גודל העסק מפורטים במדריך מרכזיה לעסק בינוני וגדול.

אילו תסמינים מעידים שחסר SBC או שהוא מוגדר לא נכון?

רוב העסקים לא פונים בגלל שרצו SBC, אלא בגלל תקלה או חשבון חריג. אלה התסמינים שחוזרים בתדירות גבוהה בשטח, והסיבה הטכנית שעומדת מאחוריהם:

• שיחה בלי קול או קול בכיוון אחד: כתובת IP פנימית שנשארה בתוך תיאור המדיה (SDP), או SIP ALG בנתב שמשכתב את ההודעה בצורה שגויה.
• ניתוק של כל שיחה באותה נקודת זמן: אישור ההתחברות (ACK) לא מגיע חזרה דרך הנתב או חומת האש, והצד השני סוגר את השיחה.
• רישום שלוחות שנכשל או נופל מדי כמה דקות: חיבור NAT שנסגר לפני שהטלפון חידש את הרישום.
• מאות ניסיונות רישום כושלים ביומן המרכזיה: סריקה אוטומטית של פורט SIP מהאינטרנט, שלרוב מקדימה ניסיון לנחש סיסמת שלוחה.
• שיחות לחו"ל בשעות שהמשרד סגור: סימן קלאסי לגניבת שיחות, שמתגלה לעיתים רק בחשבון החודשי.
• Teams לא מצליח להתחבר לקווי הטלפון: חוסר התאמה בין ה-SBC, התעודות והכתובות שהוגדרו ב-Direct Routing.

האבחון מתחיל בלכידת חבילות (Packet Capture) בצד הרשת והשוואה בין מה שהמרכזיה שלחה למה שהספק קיבל, כפי שמתואר בבדיקת רשת תקשורת באמצעות Wireshark. רק אחרי שרואים את ההודעות עצמן אפשר להחליט אם הפתרון הוא הגדרת נתב, תיקון בצד הספק או SBC.

האם במרכזיה בענן ה-SBC כלול?

כן. במרכזיה בענן הספק מפעיל SBC ברמת הרשת, והוא משרת את כל הלקוחות שמחוברים אליה. זה אחד היתרונות הפחות מדוברים של מעבר לענן: עסק קטן מקבל הגנה ברמה של ספק בלי לקנות ציוד ובלי לתחזק אותו. בטלקום אקספרט מרכזיה בענן מתחילה ב-20 ש"ח לשלוחה, במינימום 60 ש"ח לחודש, לפני מע"מ, ונתב שיחות, מוזיקה בהמתנה וג'ינגל כלולים בלי תוספת.

כדאי עדיין לשאול את הספק כמה שאלות: האם השיחות מוצפנות בין הטלפון לרשת שלו, אילו כללים קיימים נגד חיוג חריג לחו"ל, האם יש תקרת הוצאה חודשית שאפשר להגדיר, ומה קורה כשמזוהה ניסיון פריצה לשלוחה. התשובות האלה חשובות יותר משם היצרן של ה-SBC שהספק מפעיל.

מי שמחזיק מרכזיית IP על שרת ענן שהוא עצמו מנהל נמצא במצב אחר: למרות שהשרת בענן, המרכזיה שלו, והוא צריך להגן עליה כמו על מרכזיה במשרד.

מה קובע את העלות של SBC לעסק?

אין מחיר אחד ל-SBC, כי שלושה סוגי הפתרון נמכרים במודלים שונים: רכישת מכשיר, רישוי תוכנה ותשלום חודשי על שירות מנוהל. לכן אי אפשר להשוות הצעות לפי מחיר בלבד, וכדאי לבקש מכל מציע לפרט את הרכיבים הבאים:

• מספר שיחות בו זמנית: רישיון או מכשיר מתומחרים לפי קיבולת, ולכן הערכה נמוכה מדי מחייבת שדרוג מאוחר.
• הצפנה והמרת קודקים: שתי הפעולות צורכות משאבי עיבוד, והקיבולת בפועל נמוכה מהקיבולת הנקובה כשהן פועלות יחד.
• שרידות: זוג מכשירים בתצורת גיבוי עולה יותר ממכשיר בודד, ומתאים כשאין אפשרות להפסיק את הקווים.
• אחריות ותמיכה: חוזה תחזוקה, זמני תגובה ועדכוני קושחה, שנחשבים כל שנה ולא רק ברכישה.
• אישור Microsoft Teams: דגם שמופיע ברשימת המכשירים המאושרים הוא תנאי לתמיכה ב-Direct Routing.
• עבודת ההטמעה: הגדרת כללי הגנה, בדיקות ומעבר מדורג, שנעשים פעם אחת ונמדדים בשעות עבודה.

במרכזיה בענן כל הרכיבים האלה כלולים במחיר השלוחה, ולכן עסק שאין לו סיבה מיוחדת להחזיק מרכזיה משלו משווה קודם כול את העלות הכוללת של שני המסלולים לשלוש שנים.

SBC חומרה, תוכנה או שירות מנוהל: מה מתאים?

בכל אחד מהסוגים, הפרמטר שקובע את הגודל הוא מספר השיחות בו זמנית שה-SBC צריך להחזיק, ולא מספר העובדים. עסק עם 40 עובדים שמנהלים לכל היותר 10 שיחות חוץ במקביל צריך SBC בקיבולת של 10 עד 15 שיחות, עם מרווח לגידול.

איך מטמיעים SBC בלי לפגוע בשיחות?

1. מיפוי: רישום המרכזיה, הספקים, מספר השיחות בו זמנית בשעת שיא, הקודקים שבשימוש וחיבורי עובדים מרחוק.
2. תכנון כתובות: SBC יושב בדרך כלל עם רגל אחת ברשת החיצונית (או באזור מפורז, DMZ) ורגל אחת ברשת הפנימית. מגדירים את כתובות הספק כמקור המורשה היחיד לקווים.
3. כללי אבטחה: הגדרת יעדים חסומים, תקרת שיחות במקביל לכל כיוון, הגבלת קצב בקשות והתראות.
4. הצפנה: הפעלת TLS ו-SRTP בכל צד שתומך בכך, בתיאום עם הספק.
5. בדיקות לפני מעבר: שיחות נכנסות ויוצאות, העברת שיחה, תא קולי, פקס אם עדיין יש, זיהוי מספר וחיוג לשירותי חירום.
6. מעבר מדורג: העברת חלק מהמספרים, מעקב של כמה ימים, ואז העברת השאר. כך אין השבתה של כל הקווים בבת אחת.
7. ניטור שוטף: בדיקת יומנים, עדכוני קושחה ובחינה מחדש של הכללים כשמצטרף ספק או סניף.

מה לבדוק לפני שבוחרים SBC?

• קיבולת: מספר שיחות במקביל עם הצפנה ועם המרת קודקים, כי שתי הפעולות צורכות משאבים.
• תאימות: אישור מול הספק שלכם ומול המרכזיה, ואם רלוונטי, הופעה ברשימת הדגמים המאושרים של Microsoft Teams.
• שרידות: אפשרות לזוג מכשירים בתצורת גיבוי, וניתוב לספק שני כשהראשון לא זמין.
• אבטחה: כללי חיוג, רשימות חסימה, הגבלת קצב, TLS ו-SRTP.
• ניהול: ממשק ברור, יומנים שאפשר לייצא, והתראות במייל או בהודעה.
• תמיכה: מי מטפל בתקלה, באילו שעות, ותוך כמה זמן. ב-Direct Routing של Teams, Microsoft מפנה קודם כל לתמיכת יצרן ה-SBC.

איך מזהים ומונעים גניבת שיחות (Toll Fraud) במרכזיה?

גניבת שיחות היא התרחיש שבו מישהו חיצוני משתמש בקווים של העסק כדי לחייג ליעדים בתשלום, בדרך כלל בלילה או בסוף שבוע. הפורץ מנחש סיסמת שלוחה או מנצל מרכזיה שנחשפה לאינטרנט, והעסק מגלה את זה כשמגיע החשבון. הגנה טובה בנויה משכבות:

1. הקשחת השלוחות: סיסמאות ארוכות וייחודיות לכל שלוחה, וחסימת רישום מכתובות שאינן של העסק או של עובדים מרחוק.
2. חסימת יעדים: חיוג לחו"ל נפתח רק לשלוחות שצריכות אותו ולמדינות שהעסק מתקשר אליהן.
3. הגבלות כמותיות: תקרת שיחות במקביל ותקרת הוצאה חודשית, שנקבעת מול הספק.
4. התראות: הודעה בזמן אמת על שיחה לחו"ל מחוץ לשעות הפעילות, כדי להגיב בתוך דקות ולא בסוף החודש.
5. בדיקת הגדרות מרכזיה: סגירת פורטים מיותרים ועדכון קושחה, כפי שמפורט במדריך אבטחת מרכזיה.

אם התגלתה גניבת שיחות, הצעד הראשון הוא לחסום חיוג לחו"ל ולהחליף סיסמאות בכל השלוחות, ורק אחר כך לבקש מהספק פירוט שיחות לבדיקת היקף הנזק. מי שמחבר Microsoft Teams לקווי טלפון צריך להחיל את אותם כללים גם על הקווים של Teams.

איך טלקום אקספרט מלווה החלטה על SBC?

טלקום אקספרט היא אינטגרטור תקשורת ומחשוב ענן שמלווה עסקים בהחלטה ובהטמעה, בראשות מהנדסי תקשורת עם מעל 25 שנות ניסיון בטלפוניה עסקית. השירות מיועד לעסקים ולארגונים בלבד. אנחנו מתחילים מאבחון: איפה נמצאת המרכזיה, אילו קווים מחוברים אליה, מה מקור התקלות, והאם ה-SBC של הספק כבר נותן את ההגנה הנדרשת. לעיתים התשובה היא SBC ייעודי לפני מרכזיה מקומית, ולעיתים מעבר למרכזיה בענן שבה ההגנה כלולה בשירות. אנחנו מתכננים את הכללים, מתאמים מול ספק הקווים ומלווים את המעבר עד שהשיחות יציבות.

שירותי SBC ואבטחת טלפוניה שטלקום אקספרט מתכננת ומלווה

אחרי שהבנתם אם העסק צריך SBC, אפשר לבקש הצעה לפי המפרט שלכם. בכל שורה בטבלה אפשר לבקש הצעת מחיר בווטסאפ.

לייעוץ ללא התחייבות: 077-8123111 או בוואטסאפ 052-9771713.

שאלות נפוצות על SBC