Check-list configuration VoIP : SIP, Média, NAT, Sécurité, Routage, Intégration

Déployer un système VoIP fiable (PBX sur site, UCaaS hébergé, ou trunk SIP) nécessite une configuration soignée sur dix domaines. Utilisez cette check-list lors de l'installation ou l'audit.

1. Serveur SIP / Paramètres fournisseur

• IP Registrar/Proxy ou FQDN (ex. sip.fournisseur.com).
• Port : 5060 (UDP/TCP), 5061 (TLS).
• Transport : UDP (défaut), TCP, TLS (recommandé).
• Intervalle enregistrement : 300–600 sec.

2. Compte SIP / Point de terminaison

• Nom utilisateur (poste/DID), Mot de passe (fort, 16+ caractères).
• Nom affiché (Nom appelant).
• Domaine SIP / Realm.
• Auth ID (si différent nom utilisateur).

3. Profil Média / Codecs

• Audio : Opus (meilleur), G.722 (large bande), G.711 μ-law/A-law (repli).
• Vidéo : H.264 / VP8 / H.265 (si supporté).
• ptime : 20 ms (standard).
• DTMF : RFC 4733 (telephone-event) — évitez in-band.

4. Traversée NAT

• Serveur STUN (ex. stun.l.google.com:19302).
• Serveur TURN (pour NAT symétrique) — identifiants du fournisseur.
• ICE activé sur terminaux.
• Keep-alive : SIP OPTIONS / liaison STUN toutes les 15–30 sec.
• Redirection ports (si IP statique) : UDP 5060, plage RTP (10000–20000).

5. Règles Pare-feu / SBC

• Autorisez signalisation SIP (UDP/TCP 5060, TLS 5061).
• Autorisez RTP/RTCP UDP plage (configurée sur PBX).
• Bloquez tout autre entrant vers sous-réseau VoIP.
• Blocage Geo-IP pays à risque (optionnel).

6. QoS / Priorisation trafic

• DSCP EF (46) pour RTP ; CS3 (24) pour SIP.
• Séparation VLAN (VLAN Voix).
• Réservation bande passante / shaping sur bordure WAN.

7. Sécurité

• TLS pour SIP (SIPS), SRTP pour média (obligatoire).
• Gestion certificats : Let's Encrypt / DigiCert / CA auto-signée.
• Auth digest + fail2ban / rate-limit sur registrar.
• Chiffrez sauvegardes config.

8. Routage appels et fonctions

• Routes sortantes : motifs, sélection trunk, basculement.
• DID entrant → SVI / Groupe sonnerie / File / Poste.
• Renvoi appel (CFU, CFB, CFNR), Follow-Me, Ne pas déranger.
• Urgence (E911) — adresse enregistrée par poste.

9. Messagerie vocale et SVI

• VM vers email (pièce WAV/MP3), transcription.
• Menus SVI : mono/niveau multiple, TTS ou prompts enregistrés.
• Politique rétention (ex. 90 jours).

10. Intégration PSTN / Legacy

• Trunk SIP → Fournisseur (principal) + Trunk secours.
• Passerelle analogique (FXO/FXS) pour fax, alarme, téléphones ascenseur.
• Passerelle PRI/T1/E1 si circuits TDM restent.

Étapes validation

1. Enregistrez terminal → vérifiez REGISTER 200 OK.
2. Passez appel test → vérifiez flux RTP (Wireshark : rtcp).
3. Vérifiez CDR, score MOS (>4,0), gigue <30 ms, perte <1%.
4. Test basculement : coupez trunk principal → secours s'active.

Documentez chaque réglage ; versionnez configs (Git). Automatisez déploiement avec Ansible/Terraform pour reproductibilité.