Dotaz: VoIP a WebRTC

[RadekXxX]

Zdravim, mam dverni IP intercom (SIP) a potrebuji dosahnout toho abych pres web (SIP.js) vytvoril hlasove spojeni. Napadlo pouzit Asterisk (ten je na to asi ale zbytecne moc) nabo Kamailio (ten se zase hur konfiguruju), nicmene obe varianty me funguji. Pokud webovou stranku otevru na localhostu, tak vse jede, ale pokud stranku nactu z web serveru, tak nastane problem stim, ze nepouzivam sifrovany WebSocket a chrome neumozni otevrit kanal pro WebRTC. Jelikoz web server bezi na vnitrni siti nebo muze byt za NATem a IP nema FQDN, tak nemuzu zprovoznit Secure WebSocket. Rikal jsem si, jestli je mozne pouzit nesifrovany WebSocket a na prenos zvuku v Asterisku vyuzit DTLS nebo neco takoveho, ale to se me nedari. Je nejaka moznost jak pouzit nezabezpeceny WebSocket a audio nejak sifrovat na Asterisku ? Treba premyslim uplne spatne a lze vyuzit nejakou uplne jinou metodu, jak toto hlasove spojeni uskutecnit ?

Dekuji

Odpovědi

[jiwopene]

Co třeba použít self-signed certifikát?

[RadekXxX]

A co na to Chrome, kdyz to nebude podepsano duveryhodnou CA ?

[tttttt]

Seznam důvěryhodných autorit jde upravovat a daný certifikát (CA) tam přidat.

[RadekXxX]

To bohuzel pro uzivatele nepripada v uvahu

[Max]

To jsou jací uživatelé? Resp. jak má vypadat usecase? To je nějaké řešení, které se bude prodávat? Nebo je to určeno pro zaměstnance firmy nebo pro externí firmy?
Zdar Max

[RadekXxX]

Ma to byt zarizeni, ktere se ma prodavat a jeho uzivatel na ne ma mit pristup pres web, mobil, ... A tato funkce ma byt jeho soucasti.

[RadekXxX]

Zarizeni bude z 99% umisteno za NATem na verejne IP bez FQDN. A ja potrebuji pres web prohlizec sestavit hlasovy hovor. Nemusim pouzivat zadnou ustrednu, ale myslim si, ze bez nejake SIPtoWebRTC brany to nepujde. Otazka je jestli lze pouzit nejakou technologii, ktera neni zavisla na pouzivani certifikatu jako WebRTC.

[jiwopene]

Pokud to má být přístupné pomocí webu, nic jiného asi nezbývá – ① má-li uživatel doménu, ať do té Vaší krabičky nahraje svůj certifikát (uživatel má svůj web přístupný přes HTTPS, že ano), ② nebo v případě, že ho nemá, uživatele navést na Let's Encrypt – krabička se o vyřízení může postarat i sama automaticky.

Další možností (trochu prasárna, asi je lepší možnost 2) ③ by bylo provozovat Váš DNS server (+ HTTP a pár drobností), kde bude přednastavená doména pro každou krabičku (např. krabicka42.vase-firma.cz), která bude mít A(AAA) záznam směřující na Váš server. Nastavíte si Let's Encrypt s ověřením přes DNS a krabička si po spuštění a po určité době běhu (např. 1 hodina) stáhne šifrovaně (GPG) soukromý klíč pro nastavení HTTPS.

[RadekXxX]

Jo toto reseni me taky napadlo, 1. a 2. dohromady, vcetne doplneni vlastniho DNS nebo vyuziti nejake sluzby DynDNS. Ciste 3. reseni nemam rad, sam nesnasim zavislot nejakeho zarizeni na cizich serverech.

Ale prave proto se nejdrive ptam jestli neexistuje nejaka jina moznost jak prenaset obousmerne zvuk na web prohlizec bez vyuziti certifikatu (WebRTC).

[jiwopene]

Třetí řešení se mi také nelíbí, ale zmínil jsem ho, protože to je další možnost.

Nastavit na té krabičce certbot je asi nejjednodušší varianta. Let's Encrypt vydává certifikáty jen pro dómény, takže byste potřeboval DNS (ta krabička se bude muset domluvit s Vaším serverem). Tím vytvoříte závislost na (pro uživatele) cizím serveru, ale jen v případě, že krabička nebude znát svojí doménu. Pokud ji uživatel nastaví, může krabička žádat certifikát s uživatelovou doménou (nebo i oběma). Ověření pro vydání certifikátu probíhá pomocí HTTP.

Pokud chcete hlasový hovor na webu, asi nic jiného, co by odpovídalo WebRTC nenajdete. Byly by tu možnost jako Java applet (Flash nezmiňuji), ale to je dnes už celkem nepodporované.

Přenos audia ve směru server→prohlížeč není problém (MP3 je možné streamovat), ale pro přenost opačným směrem je WebRTC asi jedinou možností.

Navíc uživatel možná ocení i možnost šifrování.

[RadekXxX]

LE bude asi nejlepsi varianta jak ziskat certifikat, jenom jsem tam narazil na jeden problem, pro ziskani certifikatu v rezimu STANDALONE, musi server naslouchat na portu 80(443). Co kdyz bude chtit uzivatel provozovat zarizeni na jinem portu ? Staci ten port otevrit pouze pro prvotni vytvoreni certifikatu a pro nasledne obnovovani certifikatu jiz tento port neni treba ?

[jiwopene]

Certifikát má omezenou platnost, takže je třeba ho získávat pravidelně. Běžně se to řeší přes úlohu v cronu. LE má také možnost ověření přes DNS TXT záznam.

[Jendа]

Fun fact: některé DNS servery filtrují privátní adresy (říká se tomu rebind protection a nejznámější kdo to dělá je defaultní dnsmasq na openwrt), takže krabicka42.vase-firma.cz mířící na adresu za NATem mu uživatel možná neresolvne.

[jiwopene]

Zarizeni bude z 99% umisteno za NATem na verejne IP bez FQDN

Předpokládám, že krabicka42.vase-firma.cz míří na stroj, na kterém je nastavený port forwarding na krabičku. V tomto případě by to neměl být problém, ne? V sítích se až tak nevyznám, ale v tomhle nevidím nic špatného.

[Jendа]

Ano, to samozřejmě bude fungovat, ale jestli jsem to z diskuze pochopil, tak tazatel toho plánuje dodávat víc, a tohle znamená provozovat doalejujá server s dostatečně tlustou linkou a pro uživatele to znamená tahat data od dveří ke stolu v lepším případě přes NIX, v horším přes půl světa.

[jiwopene]

On by měl na svém serveru jen DNS (a něco, čím si krabička na dálku domluví změnu A záznamu), aby mohla krabička mít certifikát od LE.

[Jendа]

A jak pak uživatel bude lézt na tu krabičku, když je s ní v jedné síti za NATem? Buď mu krabicka42.vase-firma.cz odpoví veřejnou adresou serveru provozovatele, a pak všechna data potečou přes něj (teď mi došlo že možná webrtc bude umět vyjednat datový stream na jinou adresu, i když ta už nebude mít certifikát), nebo odpoví privátní adresou krabičky, a pak tu odpověď některé DNS rekurzory zahodí.

[jiwopene]

Tady už asi nic jiného než self-signed certifikát nebo vlastní autorita (u obojího je tedy nutné nastavení na každém klientu) nezbývá. Pokud chce tazatel webové rozhraní, tak si moc nepomůže. Prohlížeče (vím o tom u Firefoxu, Chrome) z nějakého důvodu neradi používají WebSockets apod. nešifrovaně. U Firefoxu se to dá přenastavit.

S tím vyjednáváním streamu na počítač bez certifikátu si nejsem jistý. Nemělo by to jít.

Není možné to, aby měl uživatel DNS server v lokální síti, který odpoví privátní adresou?

[RadekXxX]

Kdyz na routeru nastavim

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to $krabicka_ip:80
iptables -t nat -A POSTROUTING -p tcp --dport 80 -d $krabicka_ip -j SNAT --to-source $inet_ip

tak se na ni dostanu ip pres FQDN z lokalni site

[j]

A proc na to potrebujes web? Jitsi (napr). Kdyz sem to zkousel, tak na navazani spojeni stacilo zadat IP. Pokud ten intercom umi tu IP "vytocit", coz by asi mel, kdyz je to SIP, tak ti to normalne zazvoni a zvednes to.

Nic vic nepotrebujes, zadnou ustrednu.

---

Dete s tim guuglem dopice!

[RadekXxX]

Protoze ta implementace ma byt soucasti embedded systemu s vlastnim webem