Oracle SBCを使用したWebex発信側証明書ベースのSIPトランク登録障害のトラブルシューティング
内容
問題
Webex発信側とサードパーティのOracle SBC間の証明書ベースのSIPトランクが登録およびアクティブ化に失敗する。Control Hubでは、トランクのステータスが「Devialed」と表示されます。トラブルシューティング中に、次の特定の問題が特定されました。
ローカルゲートウェイとWebEx通話の間の証明書の検証に関連するTLS接続の失敗。
ローカルゲートウェイに送信されたSIP OPTIONSメッセージが応答を受信しない。
TCP 3ウェイハンドシェイクが完了しない：SYNおよびSYN-ACKパケットはTCPポート5062で170.72.242.77と10.8.100.2の間で交換されますが、最終的なACKは受信されません。
WebexコールからOracle SBCへのTCP接続試行が繰り返され、完全なセッションの確立に失敗する。
環境
証明書ベースのSIPトランク設定を使用したWebExコール
サードパーティ製Oracle Session Border Controller(SBC)
GlobalSignおよびIdentrust証明書を含むOracle SBC証明書チェーン。
パブリックIP 201.221.125.143を内部IP 10.8.100.2にマッピングするネットワークアドレス変換(NAT)設定
Webex CallingとOracle SBC間のファイアウォールおよびネットワークセキュリティデバイス
SIP通信に使用されるTCPポート5062。
解決方法
この問題は、内部IPアドレスとパブリックIPアドレスの間で直接NATマッピングを使用するようにファイアウォール設定を変更することで解決されました。
ステップ1：証明書チェーンの互換性の確認
サポートされているルート認証局のドキュメントと比較して、Oracle SBC証明書の発行者と証明書チェーンがWebexコールでサポートされていることを確認します。
お客様の証明書チェーンには次のものが含まれます。
GlobalSign RSA OV SSL CA 2018 （中間証明書）
GlobalSignルートCA:R3（ルート証明書）
チェーン内のIdentrust証明書
ステップ2：ネットワーク接続の問題を分析する
パケットキャプチャの分析により、TCPポート5062で170.72.242.77から10.8.100.2へのTCP接続が3ウェイハンドシェイクを完了できなかったことが判明しました。SBCはSYN-ACKパケットで応答していましたが、Webexコールからの最後のACKを受信しませんでした。
ステップ3：ダイレクトNAT設定の実装
顧客は、内部IPアドレスとパブリックIPアドレスの間の直接NATマッピングを設定するために、ファイアウォールの変更を実装しました。この変更により、TCPセッション確立の問題が解決されました。
ファイアウォール設定の変更後：
WebexコールとSBCの間のトランクがオンラインになりました。
TCP 3ウェイハンドシェイクが正常に完了しました。
SIP OPTIONS通信が確立されました。
ステップ4：サービス運用の検証
解決後、お客様はサービステストと検証を実施し、トラフィック検査がコールの品質や機能に影響を与えないことを確認しました。
原因
根本原因は、ファイアウォールのNAT実装がWebex CallingとOracle SBC間のTCPの3ウェイハンドシェイクの完了を妨げていたネットワーク設定の問題です。ファイアウォールがWebex CallingからSBCへのリターントラフィック（最終的なACKパケット）を適切に処理していなかったため、TLS接続の確立に失敗し、SIPトランクの登録ができなくなっていました。直接NATマッピング設定により、TCPセッションの完了を妨げていた非対称ルーティングまたはファイアウォールポリシーの問題が解決されました。
関連コンテンツ
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
06-Nov-2026
|
初版 |
フィードバック