8.8.8.9:5061
INVITE mTLS hermétique; ce pair n’est pas un carrier réel.
Autorité:admissionroutage SIPmTLSfail-closed
En une minute: cette page explique comment un appel entrant est admis: une porte d'entrée vérifie l'identité de l'opérateur grâce à des certificats, refuse tout appel qui ne présente pas les bonnes preuves, puis dirige l'appel accepté vers le cœur téléphonique. Un numéro autorisé est traduit vers un service interne, jamais vers une destination arbitraire. Si la cellule n'est pas prête, l'appel est refusé proprement. Ces contrôles sont prouvés en essai local avec un faux opérateur; aucun opérateur réel ni réseau téléphonique public n'est connecté, et la mise en service reste interdite.
Chemin de signalisation
La cellule admet le carrier sur son interface publique, ancre le SDP localement et transmet à Asterisk sur loopback.
8.8.8.8:5061
Admission publique, double Record-Route puis dialogue interne 5063.
127.0.0.1:22222
SDP ancré sur 8.8.8.8, plage 10000-11000.
127.0.0.1:5062
TLS loopback exact puis cycle Stasis answer/hangup.
Le chemin des paquets et la terminaison SRTP sont détaillés dans Média RTP.
Admission fail-closed
Une identité valide sur une mauvaise interface reste refusée. Le DID est traduit vers un alias opaque généré, jamais vers une route arbitraire.
| Contrôle | Décision | Échec | Preuve |
|---|---|---|---|
| Transport / identité | TLS, certificat vérifié et CN carrier exact | 403 | mTLS local avec rôles/CA carrier et cellule séparés; pair sans certificat refusé |
| Intégrité SIP | Sanity, Max-Forwards et pike fixé à 12 requêtes par fenêtre de 2 s | 400, 483 ou 429 | Configuration seulement; seuil, CPS et bursts carrier non qualifiés |
| Santé cellule | Bail local np_admission=1, renouvelé depuis un snapshot exact prêt | 503 + Retry-After 5 | Démarrage drainé, OPTIONS 200, admission, expiration 30 s et dialogue établi survivant au runtime-lab |
| Service | DID allowlisté vers alias Stasis | 404 | Service inconnu et tentative outbound refusés en lab |
| Méthode | Profil inbound explicitement borné | 405 | Code; interop carrier absente |
Autorités connexes
Les frontières, la santé, le média, la résilience et les preuves ne sont pas dupliqués ici.