使用Oracle SBC排除Webex呼叫基于证书的SIP中继注册故障
目录
问题
Webex呼叫和第三方Oracle SBC之间的基于证书的SIP中继无法注册和激活。Trunk状态在Control Hub中显示为“已损坏”。在故障排除过程中，发现了以下具体问题：
与本地网关和Webex呼叫之间的证书验证相关的TLS连接失败。
发送到本地网关的SIP OPTIONS消息未收到响应。
TCP三次握手未完成 — SYN和SYN-ACK数据包在TCP端口5062上的170.72.242.77和10.8.100.2之间交换，但未收到最终ACK。
从Webex Calling到Oracle SBC的重复TCP连接尝试未能建立完整会话。
环境
使用基于证书的SIP中继配置的Webex呼叫。
第三方Oracle Session Border Controller(SBC)
包含GlobalSign和IdenTrust证书的Oracle SBC证书链。
网络地址转换(NAT)配置将公有IP 201.221.125.143映射到内部IP 10.8.100.2
Webex Calling和Oracle SBC之间的防火墙和网络安全设备。
TCP端口5062用于SIP通信。
分辨率
通过实施防火墙配置更改以在内部和公有IP地址之间使用直接NAT映射，问题得以解决。
步骤 1：验证证书链兼容性
通过与受支持的根证书颁发机构文档进行比较，验证Webex调用是否支持Oracle SBC证书颁发者和证书链。
客户的证书链包括：
GlobalSign RSA OV SSL CA 2018（中间证书）
GlobalSign根CA - R3（根证书）
链中的IdenTrust证书
步骤 2：分析网络连接问题
数据包捕获分析显示，TCP端口5062上从170.72.242.77到10.8.100.2的TCP连接无法完成三次握手。SBC使用SYN-ACK数据包响应，但是未收到来自Webex呼叫的最后ACK。
步骤 3：实施直接NAT配置
客户实施了防火墙更改，以配置内部IP地址与公共IP地址之间的直接NAT映射。此更改解决了TCP会话建立问题。
更改防火墙配置后：
Webex Calling和SBC之间的中继已联机。
TCP三次握手成功完成。
已建立SIP OPTIONS通信。
步骤 4：验证服务操作
解决问题后，客户执行了服务测试和验证，以确认流量检测不会影响呼叫质量或功能。
原因
根本原因是网络配置问题，防火墙的NAT实施阻止了Webex调用和Oracle SBC之间的TCP三次握手完成。防火墙未正确处理从Webex呼叫到SBC的返回流量（最终ACK数据包），导致TLS连接建立失败并阻止SIP中继注册。直接NAT映射配置解决了阻止TCP会话完成的非对称路由或防火墙策略问题。
相关内容
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
1.0 |
06-Nov-2026
|
初始版本 |
反馈