Checklist configurazione VoIP: SIP, Media, NAT, Sicurezza, Routing, Integrazione

Distribuire un sistema VoIP affidabile (PBX on-prem, UCaaS hosted, o SIP trunking) richiede una configurazione attenta su dieci domini. Usa questa checklist durante l'installazione o l'audit.

1. Impostazioni server SIP / provider

• IP o FQDN Registrar/Proxy (es. sip.provider.com).
• Porta: 5060 (UDP/TCP), 5061 (TLS).
• Trasporto: UDP (predefinito), TCP, TLS (consigliato).
• Intervallo registrazione: 300–600 sec.

2. Account SIP / Endpoint

• Username (estensione/DID), Password (robusta, 16+ caratteri).
• Nome visualizzato (Caller ID Name).
• Dominio SIP / Realm.
• Auth ID (se diverso dallo username).

3. Profilo Media / Codec

• Audio: Opus (migliore), G.722 (wideband), G.711 μ-law/A-law (fallback).
• Video: H.264 / VP8 / H.265 (se supportato).
• ptime: 20 ms (standard).
• DTMF: RFC 4733 (telephone-event) — evita in-band.

4. Attraversamento NAT

• Server STUN (es. stun.l.google.com:19302).
• Server TURN (per NAT simmetrico) — credenziali dal provider.
• ICE abilitato sugli endpoint.
• Keep-alive: SIP OPTIONS / binding STUN ogni 15–30 sec.
• Port forwarding (se IP statico): UDP 5060, range RTP (10000–20000).

5. Regole Firewall / SBC

• Consenti segnalazione SIP (UDP/TCP 5060, TLS 5061).
• Consenti RTP/RTCP UDP range (configurato sul PBX).
• Blocca tutto il resto in entrata sulla subnet VoIP.
• Blocco Geo-IP paesi ad alto rischio (opzionale).

6. QoS / Prioritizzazione traffico

• DSCP EF (46) per RTP; CS3 (24) per SIP.
• Separazione VLAN (Voice VLAN).
• Prenotazione / shaping banda sul bordo WAN.

7. Sicurezza

• TLS per SIP (SIPS), SRTP per media (obbligatorio).
• Gestione certificati: Let's Encrypt / DigiCert / CA autofirmato.
• Digest auth + fail2ban / rate-limit sul registrar.
• Crittografa backup di configurazione.

8. Instradamento chiamate e funzioni

• Route in uscita: modelli, selezione trunk, failover.
• DID in entrata → IVR / Gruppo squilla / Coda / Estensione.
• Inoltro chiamate (CFU, CFB, CFNR), Follow-Me, Non disturbare.
• Emergenza (E911) — indirizzo registrato per endpoint.

9. Segreteria telefonica e IVR

• VM su email (allegato WAV/MP3), trascrizione.
• Menu IVR: single/multi-livello, TTS o prompt registrati.
• Politica di conservazione (es. 90 giorni).

10. Integrazione PSTN / Legacy

• SIP Trunk → Provider (primario) + Trunk di backup.
• Gateway Analogico (FXO/FXS) per fax, allarme, telefoni ascensore.
• Gateway PRI/T1/E1 se circuiti TDM rimangono.

Passaggi di validazione

1. Registra endpoint → verifica REGISTER 200 OK.
2. Effettua chiamata di prova → controlla flusso RTP (Wireshark: rtcp).
3. Verifica CDR, punteggio MOS (>4.0), jitter <30 ms, perdita <1%.
4. Test failover: stacca trunk primario → backup si attiva.

Documenta ogni impostazione; controlla versioni dei config (Git). Automatizza il deployment con Ansible/Terraform per riproducibilità.