Skeyevss FAQ：TLS 与 SIP 加密信令部署
1. 为什么要在 SIP 上启用 TLS
明文 SIP（通常 UDP/TCP 5060）在公网或跨安全域传输时，设备 ID、Realm、Digest 挑战等元数据可被旁路监听；部分合规场景要求 信令链路加密。TLS 将 SIP 承载在 TLS 之上（常见端口 5061），与媒体面 SRTP 配合可形成较完整的传输层保护。需同时确认 设备固件是否支持 SIPS/TLS，否则会出现「平台已开 TLS、设备仍连 5060」的双轨问题。
2. 证书链与主机名校验
- 服务端证书：建议使用企业 CA 或公共 CA 签发的证书；自签名证书必须在设备或系统信任库中 手动导入根/中间证书，否则握手失败表现为间歇性注册不上、无明确 SIP 错误码。
- SAN/CN：证书的 使用者可选名称 应与设备配置的 SIP 服务器域名一致；若设备写 IP 而证书只绑域名，部分栈会严格校验失败。
- 证书过期：监控证书 Not After，过期前滚动更新；注意 私钥权限 与配置热加载是否需重启进程。
3. 常见故障现象与定位
| 现象 | 可能原因 |
|---|---|
| TCP 连接建立后立刻断开 | TLS 版本/套件不匹配、中间设备 SSL 检查 |
| 握手超时 | 防火墙仅放行 UDP 5060、未放行 TCP 5061 |
| 注册 403/401 仍出现 | TLS 已通但 Digest 仍错误，勿与传输层混淆 |
| 仅部分设备失败 | 老设备仅支持 TLS1.0、需网关终止 TLS |
抓包时 不要 期望在 TLS 内看到明文 SIP；应依赖服务端 SIP 日志 与 TLS 握手日志（若开启）。
4. 与反向代理、负载均衡的关系
若 TLS 在 Nginx/HAProxy 终止，需注意：
- 后端到业务进程可能是明文 SIP over TCP，要保证 内网可信；
- WebSocket 路径若与 SIP 共用入口，路由规则不要误伤 SIP 端口；
- 健康检查应使用 TCP/TLS 探测 而非 HTTP。
5. 运维清单
- 明确 加密范围：仅信令 TLS、媒体是否 SRTP、是否强制；
- 文档化 端口矩阵（5060/5061/其他）与安全组；
- 变更窗口内 分批改设备配置，并保留回滚为明文的能力（仅限内网应急）。
TLS 问题多数是 证书信任 + 端口 + 设备能力 三元组；先验证握手再查 SIP 业务码，可显著缩短排障时间。
