Lo scenario B2B
La collaborazione B2B (Business-to-Business) abilita chiamate audio e video tra endpoint appartenenti a domini SIP di organizzazioni diverse — per esempio una call tra mario@aziendaA.com e laura@aziendaB.com. Non esiste un gatekeeper comune né una registrazione condivisa: ogni organizzazione espone i propri sistemi verso Internet e il traffico viene instradato da dominio a dominio tramite Expressway-E, il nodo perimetrale collocato in DMZ.
A differenza di un deployment interno, qui non si presume alcuna fiducia reciproca tra le reti. La sfida è duplice: attraversare i firewall in modo sicuro (firewall traversal) e localizzare l’interlocutore remoto (routing interdominio via DNS).
Componenti e ruoli
| Componente | Posizione | Ruolo nel B2B |
|---|---|---|
| Expressway-C | Rete interna (trusted) | Traversal client; collega il call control interno (es. CUCM) |
| Expressway-E | DMZ | Traversal server; espone il dominio verso Internet ed esegue le lookup DNS |
| CUCM | Rete interna | Call agent che registra gli endpoint aziendali e fa neighboring verso Expressway-C |
Il principio chiave è che Expressway-C avvia sempre la connessione verso Expressway-E (outbound). Così sul firewall interno non serve aprire alcuna porta in ingresso: le pinhole restano aperte dal traffico uscente.
Il firewall traversal: traversal zone, Assent e H.460
Tra Expressway-C ed Expressway-E si configura una traversal zone: su C è di tipo traversal client, su E di tipo traversal server, con nome zona e credenziali corrispondenti. Il protocollo di traversal mantiene un canale di controllo permanente e apre dinamicamente i canali media al momento della chiamata.
Assent vs H.460
- Assent è il protocollo proprietario Cisco di firewall traversal; funziona sia per SIP sia per H.323 ed è la scelta naturale quando entrambi i nodi sono Expressway. Usa tipicamente la porta 6001 (H.323) e 7001 (SIP) per il signaling di traversal.
- H.460.18/.19 sono gli standard ITU per il traversal H.323 (.18 per il signaling, .19 per il media); servono per interoperare con gatekeeper di terze parti che non parlano Assent.
Il media (RTP/SRTP) fluisce attraverso Expressway-E usando il range di porte media (default 36000-59999): Expressway-E fa da relay, evitando che gli IP privati interni siano esposti.
Routing interdominio: DNS zone e record SRV pubblici
Attraversato il firewall, resta da raggiungere il dominio remoto. Su Expressway-E si configura una DNS zone: per una chiamata verso laura@aziendaB.com, Expressway-E esegue una lookup DNS SRV sul dominio di destinazione e ne ricava host e porta del relativo Expressway-E.
Perché funzioni, l’organizzazione ricevente deve pubblicare record SRV pubblici che puntino al proprio Expressway-E:
_sips._tcp.aziendaB.com. → Expressway-E (porta 5061, SIP/TLS)
_sip._tcp.aziendaB.com. → Expressway-E (porta 5060, SIP/TCP)Senza questi record il chiamante non ha modo di localizzare il peer: la chiamata fallisce in fase di instradamento, non di media.
B2B vs MRA a confronto
| Aspetto | B2B | MRA |
|---|---|---|
| Scopo | Call tra organizzazioni diverse | Utenti della stessa azienda fuori rete |
| Registrazione | Nessuna su CUCM | Endpoint registrano su CUCM via Expressway |
| Routing | DNS interdominio (SRV pubblici) | Verso CUCM interno (search rules fisse) |
| Traversal zone | Sì (per uscire in DMZ) | Sì (proxy registrazione + media) |
| Trust | Nessun trust preesistente | Dominio unico, TLS verso CUCM |
Entrambi usano la traversal zone Expressway-C ↔ Expressway-E, ma MRA proxya la registrazione degli endpoint interni verso CUCM, mentre B2B non registra nulla e si limita a instradare chiamate verso un dominio esterno.
Trappole tipiche d’esame
- Scenario: le chiamate B2B in uscita funzionano ma dall’esterno nessuno riesce a chiamare la tua azienda → Risposta: mancano i record SRV pubblici (
_sips._tcp/_sip._tcp) che puntano al tuo Expressway-E; traversal e DNS zone da soli non ti rendono raggiungibile. - Scenario: devi interoperare con un gatekeeper H.323 di terze parti che non supporta Assent → Risposta: usa H.460.18/.19, non Assent (proprietario Cisco).
- Scenario: l’utente confonde B2B e MRA perché “entrambi usano Expressway” → Risposta: in B2B non c’è registrazione e il routing è DNS interdominio; in MRA gli endpoint si registrano su CUCM e il routing è interno.
- Scenario: si propone di aprire una porta in ingresso sul firewall interno per il B2B → Risposta: non serve; è Expressway-C (traversal client) ad aprire la connessione outbound verso Expressway-E, mantenendo le pinhole dal traffico uscente.
- Scenario: signaling B2B stabilito ma audio/video assente → Risposta: verificare il range di porte media su Expressway-E e che il firewall esterno consenta l’UDP media; il media transita via Expressway-E come relay.