• Внутренние серые IP-адреса и имена PBX утекают во внешнюю сеть через заголовки Via, Contact, Record-Route.
• Магистральный оператор отклоняет вызовы из-за несовпадения формата заголовков или кодеков.
• Атаки сканирования (SIPVicious, Friendly-Scanner) создают высокую нагрузку на ядро внутренней АТС.
• Невозможность сопряжения внешних защищенных TLS-транков с внутренней UDP-инфраструктурой.

1. Архитектура B2BUA и скрытие топологии (Topology Hiding)

SBC разрывает сигнальную и медиа-сессию на две независимые половины (Back-to-Back User Agent). Настройте замену внутренних заголовков на публичный интерфейс SBC:

# Пример для Kamailio / OpenSIPS (модуль topoh)
loadmodule "topoh.so"
modparam("topoh", "mask_key", "SecretEncryptionKey123")
modparam("topoh", "mask_ip", "203.0.113.5")

2. Фильтрация нежелательных методов и сканеров

Блокируйте сканирующие запросы до передачи во внутренний периметр:

if ($ua =~ "(?i:sipvicious|friendly-scanner|sundayddos|fpbx)") {
    sl_send_reply("403", "Forbidden - Scanner Detected");
    exit;
}

3. Медиа-анкоринг через RTPEngine / RTPProxy

Принудительно замыкайте медиапотоки на SBC для скрытия IP конечных телефонов и преодоления межсетевых экранов:

# Вызов rtpengine в конфигурации маршрутизации
rtpengine_manage("replace-origin replace-address ICE=remove RTP/AVP");

4. Нормализация номеров (Header Manipulation)

Приведите исходящие номера абонентов к формату E.164 перед отправкой оператору связи:

if ($rU =~ "^8([0-9]{10})$") {
    $rU = "+7" + $1;
}