Browsed by
Tag: 鉴权

对接中国电信IMS网络

对接中国电信IMS网络

最近帮助一位客户部署MSS服务器，对接中国电信IMS网络。在本次对接中，中国电信的软交换是ZTE的设备（至少SIP消息中的User-Agent是这么描述的），存在一些问题，需要特别注意配置方法才能完成对接。

由于中国电信是提供账号、密码信息进行对接，因此在MSS中应配置“外线”，其中需要注意的是以下几个关键点：

鉴权用户

通常外线配置中，默认采用“外线/账户”做鉴权用户（或者配置单独的鉴权ID）。而ZTE设备要求采用完整的URI作为鉴权用户名，因此在MSS的外线配置中，必须配置“鉴权用户名应包含地址信息”项，请参考下图。

外线鉴权用户配置
外线鉴权用户配置

设置该项后，例如上图的信息，MSS将采用“+8612345678@gd.ctcims.cn”作为鉴权用户名进行鉴权操作。

如果不采用完整格式的鉴权用户名，IMS网络会返回“403 Forbidden”拒绝注册和呼叫。我们认为这实际是ZTE软交换的缺陷，因为鉴权信息中本来就携带了域信息，无论鉴权用户名是否携带域信息，应该都不影响鉴权。如果您在与其他IMS设备对接时，也遇到了类似的问题，建议试试上述配置項。

Proxy设置

在中国电信的IMS网络中，对外的服务器地址作为逻辑域存在，实际上并不可访问。例如，上述例子中的“gd.ctcims.cn”就是域，而不是实际的SIP服务器。SIP消息实际应路由到指定的物理实体（在此我们理解为IMS网络前置的一个SBC或者Proxy），因此在MSS外线配置中，必须指明实际SIP消息需要路由的地址，请参考下图：

IMS网关的物理地址
IMS网关的物理地址
对抗SIP扫描

对抗SIP扫描

一位客户向我们报告：他的MSS服务器可能被黑客攻击。我们一起检查了MSS产生的呼叫详细话单，数据显示某人用另外一部SIP电话注册了同样一个分机号，并产生了大量的呼叫。

很显然，这是个非常严重的问题。我们推测这位“黑客”可能采用了发送大量SIP消息的方式来尝试上述分机的密码，并最终破解了密码。MSS以前的版本没有考虑这种异常情况，总是会允许SIP话机不停使用密码进行鉴权，直到最终通过鉴权为止，这就导致某些人刻意不停地扫描和尝试分机和密码。

为阻止这种情况，我们升级了MSS的版本，提供“失败则阻止（fail to ban， F2B）”特性。一旦SIP话机在一分钟内鉴权失败了若干次，则MSS会视之为“恶意扫描”并屏蔽其IP地址若干小时，期间MSS将拒绝所有来自该IP地址的SIP消息。这样迫使某些人几乎不可能破解SIP分机的密码。

F2B特性默认就开启，并且用户无需做任何配置。

IP地址鉴权

IP地址鉴权

本特性已经合入最新的V25版本（build 20160126）。

某些特殊的SIP设备，例如自动控制系统中的嵌入式SIP设备，往往不具备全SIP能力集，只能发起或者接受简单的SIP呼叫，不能进行账号和密码鉴权。部分设备甚至不支持发送“注册”消息到MSS更新自己的状态。

嗯，我们在MSS中可以将这些设备配置为“SIP中继”，但是这样也会丢掉一些关键特性，例如“振铃组”。在某些场景中，客户们希望能让所有设备同时振铃，这样我们就只能将设备配置为“分机”用户。

为满足这些需求，我们在“分机”中增加了“IP地址鉴权”的特性。也就是说，MSS可以不要求SIP终端首先进行注册，呼叫过程中也可以不再对账号和密码进行鉴权，只要SIP消息来自特定的或者预先配置的IP地址即可。请参考下图了解更多的细节：

IP地址鉴权
IP地址鉴权

另外，在新版本中我们同样也更新了openAPI文档，如果您有兴趣的话，可以参考最新的文档。