Session Border Controller，即會話邊界控制器，現(xiàn)代企業(yè)中基于IP的語音、視頻、會議、融合通信等已廣泛應用，通信全IP化更新迭代已是大勢所趨，但同時企業(yè)通信也面臨著新挑戰(zhàn)，比如系統(tǒng)安全、網絡攻擊防御、跨網NAT穿越、Qos、SIP報文兼容問題等等。
因此SBC已經逐漸成為NGN和IMS網絡的標準配置產品，在組網中部署SBC必不可少，可以有效解決NGN業(yè)務部署中遇到的NAT/FW穿越、安全、互通、QoS等問題，SBC在VoIP中扮演著非常重要的角色，可以實現(xiàn)對VoIP業(yè)務安全統(tǒng)籌管理，提供有質量保障的VoIP服務以及穩(wěn)定可靠的通信保障。
SBC能做什么？
網絡環(huán)境復雜，核心服務器直接暴露公網存在極大安全隱患，因此需要在企業(yè)服務器前端部署一套SBC作為核心服務器的防火墻，SBC在VoIP業(yè)務組網中可以提供有很多復雜業(yè)務功能，主要以SIP相關處理以及安全防御兩大塊為主。
組網拓撲：
功能特性：
SBC有哪些安全保障策略？
SBC作為會話邊界控制器，重要特性是SIP防火墻，對企業(yè)通信業(yè)務提供安全保障，包括核心服務器內網拓撲隱藏，防網絡攻擊，加密通信，畸形報文檢測，流量監(jiān)控等。具體安全性策略如下：
系統(tǒng)安全防御（DOS/DDOS攻擊防御）
- ICMP-Flood攻擊防御，可以設置每秒ICMP報文的閥值，超過閥值將會丟棄；
- TCP-Flood 攻擊防御，可以設置每秒ICMP報文的閥值，超過閥值將會丟棄；
- TCP-NULL攻擊防御，檢測到TCP不包含任何標志位的數據包直接丟棄；
- TCP XMAS TREE 攻擊防御，檢測到XMAS標志的數據包直接丟棄；
IP攻擊防御
（1）可以對來源IP或本地端口的數據流量以及結合設備CPU使用情況設置攻擊閥值，超過閥值后自動限流或丟棄報文，并記錄日志。
SIP攻擊防御
- SIP注冊流控，實時監(jiān)控IP和SIP賬戶發(fā)起的注冊頻率，并可自定義閥值，匹配條件攔截、拉黑、限流等操作；
- SIP呼叫流控，實時監(jiān)控來源IP和SIP賬戶的呼叫CPAS值，并可自定義閥值，匹配條件攔截、拉黑等操作；
SIP規(guī)范檢測
- VoIP網絡環(huán)境復雜，接入的終端設備來自于不同廠家，不同的私有協(xié)議標準，導致業(yè)務互通兼容問題，例如SIP信令方法不一致、SIP消息過大、SIP特殊字段等等，通過SBC的B2BUA原理可以對不太規(guī)范的SIP報文進行規(guī)范化處理，確�？梢院推渌耐ㄐ旁O備互相交換，提高業(yè)務組網的兼容性。
- 呼叫中也可能因為網絡原因存在一些異常的SIP報文，SBC自動檢測到畸形報文則直接丟棄，不會轉發(fā)給核心服務器。
TLS/SRTP加密
- 支持TLS信令加密，公共網絡環(huán)境復雜，啟用TLS加密可以防止呼叫信令被封殺攔截；
- 同時也支持SRTP語音加密，防止通話語音被攔截或非法監(jiān)控，為語音通信安全提供保障；
訪問控制
�。�1）SBC可以針對每個網口設置web訪問、SSH訪問、ping包響應等權限，極大提高了設備安全性。
流量限制
�。�1）可以對SIP中繼做流量限制，合理分配帶寬，充分利用資源，可以根據業(yè)務部門的優(yōu)先級進行帶寬控制，優(yōu)先保證重要部門的通話暢通；
黑白名單
�。�1）可以根據業(yè)務需求設置主被叫號碼黑白名單，可限制一些非法呼叫；
IP/域名認證
在IP中繼里可以設置對來源SIP呼叫和注冊消息進行IP和域名認證，防止設備被盜打或非法攻擊等。
拓撲隱藏
通過SBC來實現(xiàn)內外網拓撲隔離，SBC作為內外網數據轉發(fā)節(jié)點，完全隔離核心拓撲組網并隱藏SIP信令中的敏感信息，極大保證核心服務器的安全。
冗余備份
- 支持SIP路由冗余—SIP路由失敗二次選路；
- SIP中繼負載均衡—可根據業(yè)務情況設置負載量；
- 電源冗余---電源熱備，高可靠；
雙機熱備
主機設備會實時備份數據到備機，做到雙機數據同步，通過心跳檢測、BFD檢測、網口檢測以及檢測服務狀態(tài)來切換設備，毫秒級切換，客戶無感知，業(yè)務不中斷。
