SBC multiinquilino para Enrutamiento directo (Direct Routing) de Microsoft Teams: guía para MSP y proveedores de servicios

Por lo general, comienza con un cliente que solicita llamadas a través de Microsoft Teams. Al mes siguiente, tres más hacen la misma solicitud y, de repente, usted tiene un portafolio donde la mayoría de los clientes ya utiliza Teams. Si es un MSP (Managed Service Provider) o proveedor de servicios que todavía implementa un SBC independiente para cada cliente, los números dejan de cuadrar rápidamente. Entre las configuraciones duplicadas, los ciclos de actualización por cliente y una pila creciente de grupos de troncales que nadie tiene tiempo de auditar, se convierte en un trabajo de tiempo completo.

Existe un modelo mejor. Un solo Session Border Controller (SBC) multiinquilino puede atender todos los inquilinos de Microsoft 365 de sus clientes desde una implementación centralizada, con aislamiento completo entre inquilinos y gestión unificada para usted. Esta guía cubre el caso de negocio, la arquitectura de Microsoft que lo hace posible, las funciones del SBC que necesita y la economía a escala de MSP.

Por qué los MSP necesitan un enfoque multiinquilino para el Enrutamiento directo de Teams

El Enrutamiento directo de Teams es el principal motivo de compra para los MSP de Norteamérica que evalúan un SBC. El patrón es consistente: el equipo de TI de un cliente decide consolidar Microsoft Teams para la colaboración y luego pregunta a su MSP sobre la conexión de Teams con su sistema telefónico existente o sus troncales PSTN. El MSP necesita un SBC para cerrar esa brecha.

El modelo de implementación por cliente funciona cuando tiene dos o tres clientes en Teams. Con 20 clientes, genera una carga operativa real. Cada implementación requiere sus propios certificados TLS, sus propias configuraciones de troncales, sus propias políticas de seguridad y su propio calendario de actualizaciones. Cuando su administrador de SBC deja la empresa, esa carga operativa recae en quien hereda el rol, lo que frecuentemente desencadena una conversación inmediata sobre servicios gestionados.

El modelo multiinquilino consolida todo esto en una sola instancia de SBC. Usted gestiona una implementación con infraestructura compartida, pero el tráfico de cada cliente está completamente aislado a través de grupos de troncales separados. Las políticas de seguridad, las reglas de enrutamiento y los registros de detalle de llamadas (CDR) se mantienen por inquilino. Usted actualiza un sistema, monitorea un solo panel y mantiene un solo conjunto de certificados.

Para los MSP, esto también es un modelo de ingresos. El Enrutamiento directo de Teams entregado como servicio gestionado, con la infraestructura del SBC centralizada bajo su control, se convierte en una partida mensual recurrente en lugar de un proyecto puntual. (Para una visión más amplia de lo que los MSP necesitan de un SBC más allá del Enrutamiento directo de Teams, consulte nuestra guía de SBC para MSP.)

Cómo funciona la arquitectura multiinquilino de Enrutamiento directo de Microsoft

Microsoft diseñó una arquitectura específica para que los operadores y proveedores de servicios entreguen el Enrutamiento directo de Teams a múltiples inquilinos de Microsoft 365 desde un SBC compartido. Comprender esta arquitectura es un prerrequisito para seleccionar y configurar su SBC. (Para una introducción más amplia al Enrutamiento directo de Teams, incluidas las implementaciones de un solo inquilino, consulte nuestra guía de SBC para Enrutamiento directo de Microsoft Teams.)

Estructura de dominio y subdominios

La arquitectura utiliza un dominio base propiedad del operador o MSP, con un subdominio creado para cada inquilino cliente. Por ejemplo, si su MSP es propietario del dominio sbc.yourmsp.com, cada inquilino cliente obtiene un subdominio: client1.sbc.yourmsp.com, client2.sbc.yourmsp.com, y así sucesivamente.

El dominio base se registra en su inquilino de operador (su propia organización de Microsoft 365). Cada subdominio se activa luego en el inquilino cliente correspondiente. Esto permite a Microsoft asociar las llamadas entrantes y salientes con el inquilino correcto mientras enruta todo a través de su SBC compartido.

Certificado TLS wildcard

Microsoft requiere cifrado TLS para toda la señalización SIP en los troncales orientados a Teams. Para una implementación multiinquilino, su SBC necesita un certificado TLS wildcard que coincida con el patrón de su dominio base, por ejemplo *.sbc.yourmsp.com. Este único certificado autentica conexiones en todos los subdominios de inquilinos, eliminando la necesidad de certificados por cliente.

Esta es una simplificación operativa significativa. En lugar de gestionar decenas de certificados individuales con fechas de renovación escalonadas, usted gestiona un solo certificado wildcard.

Identificación de inquilinos mediante encabezados SIP

Cuando una llamada llega a la interfaz de Enrutamiento directo de Microsoft 365, el sistema utiliza el FQDN en el encabezado SIP Contact para identificar a qué inquilino pertenece la llamada. No busca inquilinos por número telefónico, porque los números no DID pueden solaparse entre inquilinos. El FQDN del encabezado Contact debe resolverse al subdominio correcto para cada cliente.

Esto significa que su SBC debe ser capaz de manipular encabezados SIP por grupo de troncales, insertando el FQDN de subdominio correcto para el tráfico de cada inquilino. Un SBC con arquitectura B2BUA (Back-to-Back User Agent) maneja esto de forma nativa, porque termina y reorigina la sesión SIP en cada tramo con control total sobre el contenido de los encabezados.

Configuración de troncales

Cada inquilino cliente requiere un troncal configurado en el Teams Admin Center, que apunte al FQDN del subdominio (por ejemplo, client1.sbc.yourmsp.com). En su SBC, cada inquilino se mapea a un grupo de troncales dedicado con sus propias reglas de enrutamiento, políticas de seguridad y configuración de códec. El SBC enruta las llamadas entre el troncal orientado a Teams (cifrado, TLS/SRTP) y el troncal orientado a PSTN o al operador (que puede utilizar un transporte diferente según los requisitos de su operador).

Qué necesita su SBC para soportar Enrutamiento directo de Teams multiinquilino

No todos los SBC manejan el Enrutamiento directo de Teams multiinquilino de la misma manera. Estas son las capacidades técnicas que más importan para este modelo de implementación.

Capacidad de grupos de troncales y aislamiento de inquilinos

Cada inquilino en su implementación multiinquilino requiere al menos un grupo de troncales dedicado (frecuentemente denominado Network Access Point, o NAP). Si planea escalar a 50, 100 o 200 inquilinos cliente, el límite de grupos de troncales de su SBC es un techo rígido para el crecimiento.

ProSBC admite hasta 1,024 Network Access Point por servidor. A escala de MSP, donde la mayoría de los proveedores gestionan de 10 a 200 clientes, esta capacidad proporciona un margen significativo. Cada NAP mantiene sus propias políticas de seguridad, reglas de enrutamiento y salida de CDR, de modo que el aislamiento de inquilinos se aplica a nivel de configuración, no solo a nivel de red.

TLS y SRTP para cada conexión de inquilino

Microsoft Teams requiere TLS para la señalización SIP y SRTP para los medios en cada conexión de Enrutamiento directo. No hay excepción. Su SBC debe soportar TLS y SRTP en el lado orientado a Teams, y configurar el transporte de forma independiente en el lado orientado al operador.

En una implementación multiinquilino típica, todos los troncales orientados a Teams utilizan TLS/SRTP, mientras que los troncales orientados al operador pueden usar UDP, TCP o TLS según los requisitos del operador PSTN. Su SBC puede convertir RTP a SRTP por troncal, cerrando la brecha de cifrado entre los dos tramos.

ProSBC admite SIP sobre TLS y SRTP con transporte configurable por NAP. Esto significa que el troncal de Teams de cada inquilino utiliza TLS/SRTP, mientras que el troncal del operador correspondiente puede usar cualquier transporte que el operador requiera. El SBC gestiona la conversión de RTP a SRTP entre los dos tramos sin configuración adicional por inquilino.

Manipulación de encabezados SIP para el enrutamiento de inquilinos

La arquitectura multiinquilino de Microsoft depende del contenido preciso de los encabezados SIP, específicamente el FQDN del encabezado Contact, para enrutar las llamadas al inquilino correcto. Su SBC necesita un motor de manipulación de encabezados SIP capaz de reescribir encabezados por grupo de troncales.

La arquitectura B2BUA de ProSBC le brinda control total sobre la señalización SIP en ambos tramos de la llamada. Debido a que el SBC termina la sesión SIP entrante y origina una nueva sesión en el tramo saliente, cada encabezado puede ser inspeccionado, modificado o reemplazado. No se trata de un proxy SIP liviano que reenvía encabezados sin cambios. El modelo B2BUA le permite normalizar el tráfico SIP desde cualquier formato de operador al formato exacto que Microsoft espera, por inquilino, sin interferencia entre inquilinos.

Esta capacidad también aborda entornos con múltiples operadores. Si diferentes clientes utilizan diferentes operadores PSTN con diferentes convenciones de encabezados SIP, el SBC normaliza todo a un formato consistente en el lado orientado a Teams.

Alta disponibilidad para infraestructura compartida

Cuando un solo SBC atiende a todos sus clientes, una interrupción afecta a toda su base de clientes simultáneamente. La alta disponibilidad (HA) no es opcional para implementaciones multiinquilino.

ProSBC ofrece 1+1 HA con redundancia activo/en espera, proporcionando máximo tiempo de actividad y mínimo tiempo de inactividad. Esto está disponible incluso para implementaciones más pequeñas: una configuración de HA de 500 sesiones (ProSBC+) cuesta $2,000 por año. Para los MSP que construyen un servicio de Enrutamiento directo de Teams generador de ingresos, la inversión en HA es pequeña en relación con los ingresos que protege.

Seguridad en el borde de la red

Un SBC multiinquilino es un límite de seguridad compartido. Debe proteger a todos los inquilinos contra:

• Ataques DoS/DDoS: ProSBC incluye mitigación integrada de denegación de servicio y DDoS distribuido, evitando que los ataques de inundación SIP interrumpan el servicio para todos los inquilinos.
• Escaneo de registro SIP: detección y bloqueo de ataques de inundación de registro que intentan sondear su SBC en busca de credenciales válidas.
• Listas de bloqueados dinámicas: bloqueo de rangos de IP específicos o números de origen/destino, incluyendo listas grises basadas en porcentaje para tráfico sospechoso de fraude.
• Ocultación de topología: oculta las direcciones IP internas de su red frente a terceros externos. En un modelo multiinquilino, esto también evita que el operador de un inquilino descubra la topología de red de otro inquilino.

Estas protecciones se aplican de forma global y por NAP, de modo que puede aplicar políticas de seguridad base en todos los inquilinos y personalizar reglas para clientes específicos. (Para un análisis más profundo de las capacidades de seguridad del SBC, consulte nuestra guía de seguridad VoIP y prevención de fraude.)

Cumplimiento STIR/SHAKEN entre inquilinos

Si está entregando servicios de llamadas PSTN a múltiples clientes en Estados Unidos, el cumplimiento de STIR/SHAKEN no es opcional. La FCC requiere que los proveedores de servicio originantes firmen las llamadas salientes con atestación de identidad de llamante. Para un MSP que opera un SBC multiinquilino, esto significa que su SBC centralizado debe gestionar la firma STIR/SHAKEN para todo el tráfico de llamadas salientes de cada inquilino.

ProSBC se integra con servicios de firma STIR/SHAKEN externos (como TransNexus ClearIP o Neustar) a través de su motor de enrutamiento configurable. El SBC envía solicitudes de firma al servicio de firma elegido, recibe el encabezado Identity firmado y lo inserta en el SIP INVITE saliente. Esta integración admite los niveles de atestación A (completo), B (parcial) y C (pasarela), con el nivel determinado por su relación con la parte llamante para cada inquilino.

La ventaja clave para los MSP es la flexibilidad. El modelo de integración abierta de ProSBC funciona con cualquier servicio de firma de terceros. Algunos SBC de la competencia utilizan implementaciones STIR/SHAKEN propietarias que lo atan a un socio de firma elegido por el fabricante. Con ProSBC, usted selecciona el servicio de firma que se adapta a su negocio, y puede usar diferentes servicios para diferentes inquilinos si es necesario.

Para redundancia, ProSBC admite URL de servicio de firma primario y secundario. Si el servicio primario no está disponible después de los reintentos, el SBC agrega un encabezado P-Identity-Bypass y completa la llamada en lugar de descartarla. Este mecanismo de respaldo evita que las interrupciones del servicio de firma bloqueen todas las llamadas salientes de sus inquilinos.

La economía de la entrega multiinquilino de Enrutamiento directo de Teams

El caso financiero para una implementación de SBC multiinquilino se reduce a la consolidación: una implementación cuesta menos que muchas, y el precio por sesión escala linealmente con su base de clientes.

Precio por sesión a escala de MSP

ProSBC utiliza un modelo de suscripción anual por sesión que comienza desde $1.40 por sesión por año. El complemento de Enrutamiento directo de Teams tiene un precio desde $1.40 por sesión por año. Este es un modelo OPEX, no un gasto de capital en appliances de hardware.

A continuación, un ejemplo concreto para un MSP con 50 clientes y 500 sesiones concurrentes en total:

Eso es $5,375 por año para un SBC multiinquilino de grado carrier, protegido con HA, que atiende a 50 inquilinos cliente con Enrutamiento directo de Teams. Como referencia, una sola implementación de Oracle Acme Packet con un conteo de sesiones comparable costaría aproximadamente $50,000 por año a la tarifa de Oracle de aproximadamente $100 por sesión.

La opción de servicio gestionado

Si su equipo no tiene la capacidad para gestionar la infraestructura del SBC, TelcoBridges ofrece un servicio completamente gestionado. Este incluye ProSBC+ con 1+1 HA, soporte 24/7, configuración, integración, pruebas y monitoreo continuo. Usted elige el alojamiento: TelcoBridges puede alojar el SBC por usted, o implementarlo en su propia infraestructura (AWS, Azure, VMware o KVM). Usted conserva acceso completo en cualquier caso.

Oportunidad de ingresos

El modelo multiinquilino convierte el Enrutamiento directo de Teams en una partida de servicio gestionado. Sus clientes le pagan mensualmente por las llamadas de Teams, usted las entrega desde su SBC centralizado, y el margen entre lo que cobra y lo que cuesta la infraestructura del SBC es ingreso recurrente.

Con la economía por sesión de ProSBC, incluso un precio modesto por usuario a sus clientes genera márgenes saludables. Un cliente que paga de $3 a $5 por usuario por mes para llamadas gestionadas de Teams le cuesta a usted una fracción de eso en licenciamiento de SBC.

Gestión de múltiples operadores entre inquilinos

En la práctica, su implementación multiinquilino no se conectará a un solo operador PSTN. Diferentes clientes traen sus propias relaciones con operadores, o usted como MSP mantiene acuerdos de troncales con múltiples operadores para cobertura geográfica, optimización de costos o redundancia. El SBC debe manejar esto sin proliferación de configuraciones.

Cada NAP en ProSBC puede conectarse a un operador diferente con su propio perfil SIP, preferencias de transporte y requisitos de códec. El motor de enrutamiento configurable del SBC admite enrutamiento basado en reglas con prioridad, lo que le permite definir tablas de enrutamiento por inquilino que seleccionan operadores según patrones de números marcados, hora del día, costo o métricas de calidad. Si una ruta de operador primario falla, el SBC realiza automáticamente la conmutación por error (failover) a rutas secundarias.

Para los MSP que gestionan clientes en diferentes regiones o países, esta flexibilidad de enrutamiento por inquilino es esencial. Un cliente en Texas puede enrutar a través de un operador regional con tarifas locales competitivas, mientras que un cliente en Nueva York utiliza un operador nacional con mejores precios de larga distancia. El SBC aplica las reglas de enrutamiento de cada cliente de forma independiente, sin interferencia de enrutamiento entre inquilinos.

ProSBC también genera registros de detalle de llamadas por NAP, proporcionándole datos de CDR con calidad de facturación separados por inquilino. Esto es fundamental para los MSP que facturan a los clientes según el uso: puede extraer volúmenes de llamadas, duraciones y destinos por cliente directamente del SBC sin correlación manual.

Opciones de implementación para Enrutamiento directo de Teams multiinquilino

ProSBC se ejecuta en la infraestructura que usted ya tiene. Las implementaciones de Enrutamiento directo de Teams multiinquilino son compatibles con:

• AWS: la plataforma de implementación más popular y probada en producción para ProSBC. Nativa de la nube, sin hardware que adquirir.
• Microsoft Azure: opción lógica si su práctica de MSP ya está alineada con Azure. Mantiene la infraestructura de voz en la misma nube que Teams.
• VMware o KVM/Proxmox: para MSP que ejecutan su propia infraestructura de virtualización en sus instalaciones o en colocación.
• Servidores baremetal: para entornos que requieren hardware dedicado.

Todas las opciones de implementación admiten la misma arquitectura multiinquilino, la misma configuración de NAP y las mismas capacidades de HA. El software del SBC es idéntico independientemente de dónde se ejecute.

Para los MSP con clientes en industrias reguladas o regiones con requisitos de residencia de datos, todas las implementaciones pueden alojarse en la propia infraestructura del cliente para cumplimiento de GDPR y protección de datos.

Monitoreo de una implementación multiinquilino

El monitoreo centralizado se vuelve más importante a medida que agrega inquilinos. Un solo SBC multiinquilino que transporta todo el tráfico de sus clientes requiere visibilidad proactiva sobre la calidad de las llamadas, el estado de los troncales y los eventos de seguridad en todos los inquilinos simultáneamente.

ProSBC proporciona acceso API RESTful para gestión remota de estado y configuración, soporte SNMP para integración con plataformas de monitoreo de red existentes, y puntuación MOS (Mean Opinion Score) para evaluación de calidad de llamadas en tiempo real. La captura en vivo con Wireshark y las capacidades de rastreo de llamadas le permiten solucionar problemas de llamadas por inquilino sin interrumpir el tráfico de otros inquilinos.

Para los MSP que desean monitoreo sin la carga operativa, TelcoBridges ofrece Monitoring as a Service (MaaS) como un producto independiente. MaaS proporciona monitoreo continuo de su implementación de ProSBC, pero es un producto de monitoreo únicamente, no una implementación gestionada. Si desea gestión operativa completa (implementación, actualizaciones, resolución de problemas y soporte), el paquete de servicio gestionado incluye MaaS como parte de la oferta.

Primeros pasos: del laboratorio a producción

ProSBC ofrece un camino de cero a producción que no requiere una llamada de ventas, una orden de compra ni un envío de hardware.

1. Implemente el ProSBC LabEl ProSBC Lab es una licencia gratuita y permanente de 3 sesiones disponible para descarga inmediata. La configuración toma aproximadamente 20 minutos, y el Lab incluye la capacidad de Enrutamiento directo de Teams. Este es su entorno de pruebas para validar la configuración multiinquilino antes de comprometer cualquier presupuesto.
2. Configure su dominio base y certificado wildcardRegistre su dominio base (por ejemplo, sbc.yourmsp.com) y obtenga un certificado TLS wildcard de una autoridad certificadora confiable. Configure el certificado en su instancia de ProSBC Lab.
3. Configure NAP para inquilinos de pruebaCree Network Access Point separados para dos o tres inquilinos de prueba. Configure cada NAP con su FQDN de subdominio, troncal TLS/SRTP orientado a Teams y troncal orientado al operador.
4. Valide el flujo de llamadasConfirme que las verificaciones de estado SIP OPTIONS se completan para cada inquilino, realice llamadas de prueba en ambas direcciones y verifique que los CDR se generan por inquilino.
5. Escale a producciónCuando el Lab valide su arquitectura, pase a la prueba gratuita de 30 días con 500 sesiones concurrentes. Esto le brinda capacidad a escala comercial para incorporar sus primeros clientes de producción.
6. Evalúe el servicio gestionadoSi la carga operativa de gestionar el SBC no es donde desea invertir el tiempo de su equipo, contacte a TelcoBridges sobre la opción de servicio gestionado. El servicio gestionado cubre implementación, monitoreo, actualizaciones y soporte 24/7, permitiendo que su equipo se enfoque en las relaciones con los clientes en lugar del mantenimiento del SBC.

Preguntas frecuentes

Próximos pasos

Un SBC multiinquilino para Enrutamiento directo de Teams es la infraestructura que convierte la demanda de llamadas de Teams de sus clientes en un servicio gestionado escalable y rentable. La combinación de precio por sesión, alta capacidad de NAP para el aislamiento de inquilinos y la opción de delegar las operaciones a un servicio gestionado hace que este modelo sea viable para MSP de cualquier tamaño.

Comience con el ProSBC Lab para validar su configuración multiinquilino de Teams DR en menos de una hora. Cuando esté listo para escalar, la prueba gratuita de 30 días le brinda 500 sesiones para incorporar sus primeros clientes de producción.