VoIP, signalisation et communications temps réel

VoIP, signalisation et communications temps réel

La VoIP (Voice over IP) transporte la voix dans des paquets IP. Elle met à nu toutes les faiblesses d’un réseau : un transfert de fichier tolère une seconde de retard, une conversation non. Elle combine aussi deux flux de nature différente, la signalisation qui organise l’appel et le média qui transporte la voix, ce qui en fait le cauchemar historique des pare-feu et de la traduction d’adresses. Cette fiche décrit ces deux flux, les protocoles qui les portent, les techniques de traversée et la sécurité propre aux communications temps réel.

Explication de la marmotte

Un appel téléphonique par internet se passe un peu comme un dîner au restaurant : d’abord un employé présente les convives et les installe à la même table, ensuite ils se parlent directement. Si la salle est mal organisée, les convives ne se trouvent pas, ou l’un parle sans que l’autre l’entende. Ce chapitre explique ces appels et leurs faiblesses.

→ Lire l’explication complète de la marmotte

Pourquoi la voix expose les limites du réseau

Latence, gigue, perte

Trois grandeurs gouvernent la qualité d’un appel. La latence est le délai de bouche à oreille ; la recommandation ITU-T (Union internationale des télécommunications, secteur de la normalisation) G.114 situe à 150 ms en aller simple la limite au-delà de laquelle la conversation devient pénible, les interlocuteurs commençant à se couper la parole. La gigue (jitter) est la variation de ce délai d’un paquet à l’autre : le récepteur la compense par une mémoire tampon de gigue, qui ajoute elle-même du délai. La perte fait disparaître des fragments de voix : quelques paquets perdus sont masqués par les codecs, une perte de quelques pour cent devient audible, et des pertes groupées hachent la parole.

Un calcul fixe les ordres de grandeur. Le codec G.711 produit 64 kbit/s ; découpé en paquets de 20 ms, cela fait 50 paquets par seconde de 160 octets de voix. Chaque paquet porte 40 octets d’en-têtes IPv4 (20), UDP (8) et RTP (12), soit 200 octets et 80 kbit/s par sens au niveau IP, sans compter la couche liaison. Un codec plus économe comme G.729 descend à 8 kbit/s de voix, mais les en-têtes restent les mêmes : ils pèsent alors plus que la voix.

C’est pourquoi la QoS (Quality of Service) importe plus que la bande passante brute. Un lien de 100 Mbit/s saturé par une sauvegarde dégrade un appel qui ne consomme que 80 kbit/s, parce que les paquets de voix attendent dans la même file que les gros transferts. Le marquage DSCP (Differentiated Services Code Point) EF (Expedited Forwarding, valeur 46) et une file prioritaire sur les liens chargés règlent le problème, à condition d’être appliqués de bout en bout (voir performance, QoS et capacité).

Signalisation et média

Un appel se compose de deux flux. La signalisation établit, modifie et termine l’appel : qui appelle qui, quels formats de voix, quelles adresses et quels ports pour le média. Le média est la voix elle-même, transportée par RTP (Real-time Transport Protocol, RFC 3550) sur UDP, avec numéro de séquence et horodatage, accompagné de RTCP (RTP Control Protocol) qui remonte des statistiques de qualité. SRTP (Secure RTP, RFC 3711) en est la version chiffrée et authentifiée.

Les deux flux ne suivent pas forcément le même chemin : la signalisation passe souvent par un ou plusieurs serveurs, alors que le média peut aller directement d’un terminal à l’autre. SIP et RTP ne se confondent donc pas : SIP organise la conversation, RTP la transporte.

Appel interne, trunk, softphone distant

Un appel interne reste sur le LAN entre deux postes enregistrés sur le même serveur d’appels (IPBX) : chemin court, adresses privées, peu de difficulté. Un appel vers l’extérieur passe par un trunk SIP, liaison entre l’IPBX et l’opérateur, ou par une passerelle vers le réseau téléphonique classique. Un softphone (logiciel téléphonique) sur un portable en télétravail cumule toutes les difficultés : réseau domestique, traduction d’adresses, Wi-Fi partagé, VPN éventuel. Les terminaux matériels, les passerelles et les softphones parlent les mêmes protocoles, mais pas dans les mêmes conditions.

Signalisation et traversée

Les protocoles en présence

SIP (Session Initiation Protocol, RFC 3261) est aujourd’hui le protocole de signalisation dominant. Textuel et proche de HTTP dans sa forme, il circule sur le port 5060 en UDP ou TCP et sur le port 5061 en TLS. Il transporte une description de session au format SDP (Session Description Protocol, RFC 8866, qui a remplacé le RFC 4566) : adresses, ports et codecs proposés pour le média.

H.323, famille de recommandations de l’ITU-T apparue en 1996, a précédé SIP dans la visioconférence et la téléphonie IP. Il subsiste dans des systèmes de visioconférence et des installations anciennes, mais les nouveaux déploiements choisissent SIP.

L’IMS (IP Multimedia Subsystem), architecture définie par le 3GPP (3rd Generation Partnership Project), fonde la téléphonie des réseaux mobiles et fixes des opérateurs sur SIP : c’est elle qui porte la voix sur 4G (VoLTE) et sur 5G. Elle reste en grande partie invisible pour l’entreprise, qui la rencontre par ses trunks.

NSIS (Next Steps in Signaling) est un cadre de l’IETF (Internet Engineering Task Force) destiné à signaler des besoins de traitement, comme une réservation de ressources, le long d’un chemin réseau. Il est resté peu déployé et n’a guère de place dans une architecture d’entreprise actuelle.

Atelier : un appel SIP simplifié

Dans une capture, les messages SIP sur le port 5060 forment la signalisation ; les flux UDP vers les ports annoncés dans les lignes c= (adresse) et m=audio (port) du SDP forment le média. Le filtre Wireshark sip || rtp les sépare, et le menu Téléphonie reconstitue les appels et les flux RTP, avec perte et gigue mesurées.

Pourquoi NAT et pare-feu compliquent la VoIP

Le problème tient dans l’atelier ci-dessus : les adresses et ports du média sont écrits dans le contenu de la signalisation, et choisis dynamiquement à chaque appel. Un poste derrière une traduction d’adresses (NAT, Network Address Translation) annonce son adresse privée 192.168.1.20 ; le correspondant envoie la voix vers une adresse qui n’existe pas pour lui. Le pare-feu, de son côté, ne connaît pas à l’avance les ports à ouvrir. Oublier ces ports dynamiques donne une signalisation qui fonctionne et une voix qui ne passe pas.

ALG, SBC, STUN, TURN, ICE

Plusieurs réponses existent. Une ALG (Application Layer Gateway) SIP, intégrée à de nombreux routeurs et pare-feu, réécrit les adresses dans les messages SIP et ouvre les ports média à la volée. Mal implémentée ou combinée à d’autres mécanismes, elle corrompt les messages ou réécrit deux fois les adresses : désactiver une ALG SIP est l’un des premiers réflexes de dépannage, au point que la phrase devrait figurer sur les boîtes.

Le SBC (Session Border Controller) est un équipement dédié placé en bordure, entre le réseau interne et le trunk de l’opérateur ou les télétravailleurs. Il termine et réémet la signalisation, relaie le média, corrige les adresses, normalise les dialectes SIP, applique des politiques d’appel et cache la topologie interne. Ce n’est pas un pare-feu généraliste : il comprend SIP et RTP en profondeur, mais ne remplace pas le filtrage du reste du trafic.

Côté terminaux, STUN (Session Traversal Utilities for NAT, RFC 8489) permet à un client de découvrir son adresse et son port publics ; TURN (Traversal Using Relays around NAT, RFC 8656) fournit un relais quand aucun chemin direct n’existe ; ICE (Interactive Connectivity Establishment, RFC 8445) rassemble les adresses candidates (locales, découvertes par STUN, relayées par TURN), les teste par paires et retient la meilleure. WebRTC, qui équipe les navigateurs, impose ICE.

Atelier : audio unidirectionnel

Symptôme : l’appel s’établit, Alice entend Bob, Bob n’entend pas Alice. La signalisation fonctionne, donc le problème est dans le média. On capture des deux côtés et on lit les SDP échangés. Cas typique : le SDP d’Alice annonce c=IN IP4 192.168.1.20, adresse privée, parce que son poste est derrière un NAT sans SBC ni ICE ; Bob envoie la voix dans le vide, tandis que le flux d’Alice vers l’adresse publique de Bob passe. Autres causes : un pare-feu qui ouvre le port média dans un seul sens, une ALG qui réécrit mal, une route asymétrique. La correction passe par un SBC, ICE ou la désactivation de l’ALG fautive, rarement par l’ouverture d’une large plage de ports UDP.

Sécurité temps réel

Ce qu’il faut protéger

Quatre objets sont à protéger. La signalisation, chiffrée en SIP sur TLS (port 5061), pour empêcher l’usurpation et la lecture des numéros composés. Le média, chiffré en SRTP ; sans lui, une simple capture suffit à réécouter une conversation. Les identités : comptes SIP aux mots de passe robustes et uniques, enregistrement limité aux réseaux attendus. Les trunks : filtrés pour n’accepter que les adresses de l’opérateur, et limités en appels simultanés et en destinations.

Fraude, scans, usurpation

Les serveurs SIP exposés sur internet sont balayés en permanence par des outils automatiques qui testent des extensions et des mots de passe courants. Un compte deviné ou un trunk ouvert sert ensuite à la fraude téléphonique : appels en masse vers des numéros surtaxés ou internationaux dont l’attaquant partage les revenus, de préférence le week-end. Les parades sont connues : pas d’exposition directe de l’IPBX, filtrage des trunks par adresse, limitation du nombre d’appels simultanés, interdiction des destinations inutiles, plafonds de dépense chez l’opérateur, blocage des tentatives d’enregistrement répétées.

L’usurpation d’identité d’appelant est triviale en SIP, puisque l’appelant déclare lui-même son numéro. Les opérateurs déploient des mécanismes de signature du numéro appelant, comme STIR/SHAKEN aux États-Unis, mais en interne la confiance repose sur l’authentification des postes.

Superviser qualité et anomalies

La supervision suit deux familles d’indicateurs. La qualité : perte, gigue et latence mesurées par RTCP ou par les SBC, et score de qualité perçue MOS (Mean Opinion Score). Les anomalies : pics d’appels sortants, appels hors horaires, nouvelles destinations internationales, échecs d’enregistrement en série depuis une même adresse. Les communications unifiées, qui réunissent téléphonie, visioconférence, messagerie instantanée et présence, ajoutent leurs propres flux à ce tableau, souvent hébergés chez un fournisseur en ligne ; leurs exigences de latence et de traversée restent les mêmes.

🐝 Ce qui arrive si on s’en passe

Sans protection des trunks et des comptes, un identifiant de téléphonie deviné ou un trunk laissé ouvert permet de passer des appels facturés à l’organisation, souvent vers des numéros surtaxés et aux heures où personne ne regarde : la facture de l’opérateur tient alors lieu de système de détection, avec quelques semaines de retard. Sans chiffrement du média, la voix circule lisible sur chaque segment traversé, et une simple capture suffit à réécouter une conversation. Sans supervision, l’usurpation d’un numéro interne passe pour un appel légitime aux yeux de celui qui décroche.

🦫 Explication de la marmotte 🍫

La téléphonie sur internet, ou VoIP, transporte la voix sous forme de petits paquets de données. Un appel comporte deux parties distinctes. La signalisation sert à établir, modifier et terminer l’appel : le protocole SIP, dit « d’ouverture de session », ou l’ancien H.323, fait sonner le correspondant et négocie, grâce à une description appelée SDP, le format de la voix et les adresses à utiliser. Le média est ensuite la voix elle-même, transportée par RTP, le protocole de transport en temps réel, ou par sa version chiffrée SRTP. Le média utilise des ports choisis au moment de l’appel, ce qui complique le travail des pare-feu et de la traduction d’adresses, qui ne les connaissent pas à l’avance. Des techniques de traversée, nommées STUN, TURN et ICE, aident les deux appareils à trouver un chemin l’un vers l’autre, en découvrant leur adresse publique ou en passant par un relais. Un contrôleur de session placé en bordure, appelé SBC, filtre et relaie les appels à l’entrée du réseau. La voix supporte mal le délai, la variation de délai appelée gigue et la perte de paquets, d’où l’usage de priorités de trafic. Côté sécurité, il faut protéger la signalisation, chiffrer le média, contrôler les identités et filtrer les liaisons avec l’opérateur, appelées trunks SIP, pour éviter la fraude, l’écoute et l’usurpation.

À lire aussi

• NAT, translations et publication de servicesComprendre les translations d’adresses et de ports, leurs usages, limites, impact sur les protocoles et confusions fréquentes avec la sécurité.
• UDP, TCP et comportements de transportComprendre les transports classiques, leurs états, timeouts, performance et risques de sécurité.
• MPLS, GMPLS, SD-WAN et overlays opérateursExpliquer les architectures WAN et opérateurs au-delà d’IP routé : labels, circuits virtuels, transport optique, overlays, SD-WAN et technologies héritées.
• Données, signaux, latence et fiabilitéExpliquer comment une donnée devient un signal transmis, puis comment mesurer ce que le réseau fait subir aux échanges : délai, débit, perte, gigue et erreurs.

Pages voisines

La citent

• NAT, translations et publication de services
• Accès terrestres, fibre, cuivre et réseaux câblés

VoIP, signalisation et communications temps réel

Elle cite

• Performance, QoS, capacité et sobriété énergétique