Ausfallsichere Voice-over-IP-Systeme

Oft ist die erforderliche IP-Infrastruktur für die Integration moderner Kommunikationsanlagen in
den Unternehmen bereits vorhanden und muss nur an die neuen Anforderungen angepasst werden. Dies
erleichtert den Umstieg, denn kein renommiertes Unternehmen kann sich heute noch leisten, mit
herkömmlichen Telefonanlagen und deren proprietären Funktionen oder Protokollen im Abseits zu
stehen.

Dennoch haben viele Verantwortliche weiter Vorbehalte gegen die Kommunikation auf Basis von VoIP
(Voice over IP), und die betreffen nicht nur die Gesprächsqualität. Die Bedenken richten sich
speziell gegen die Verfügbarkeit. Wenn nur noch ein Netzwerk alle Kommunikationsabläufe trägt, dann
kann es sich sehr schnell zur Single-Point-of-Failure-Falle entwickeln. Im Kommunikationsbereich
gibt es aber drei geschäftstragende Säulen, deren Dienste permanent verfügbar sein müssen:
Datenzugriff, E-Mail und Telefon. Jedes dieser Systeme erfordert seine eigene
Hochverfügbarkeitsstruktur, auch wenn die Prozesse über dasselbe Netzwerk abgewickelt werden.

Speziell für die praktisch uneingeschränkte Verfügbarkeit der Telefondienste hat Siemens
Enterprise Communications das System Openscape Voice entwickelt. Dieser SIP-Softswitch (SIP:
Session Initiation Protocol, die Anwendung ist eine reine Software, die nicht an eine spezifische
Hardware gebunden ist) übernimmt alle Signalisierungs- und Verbindungsprozesse, die für den
Gesprächsaufbau erforderlich sind. Die Aufgabe des aus der TDM-Welt bekannten Koppelfelds kommt nun
dem IP-Netzwerk zu. Die zentrale Infrastruktur um diesen Telefonie-Server soll alle Teilnehmer
eines Unternehmens so miteinander verbinden, dass praktisch eine Erreichbarkeit von mehr als 99,999
Prozent gewährleistet ist.

Struktureller Aufbau

Basis für die hohe Verfügbarkeit ist der strukturelle Aufbau von Openscape Voice. Die verwendete
Hardware (zum Beispiel IBM X.3650T oder Fujitsu Siemens Computers RX330S1) ist in sich selbst
redundant. Das System läuft auf zwei identischen, aber getrennten Server-Maschinen, die im Kern mit
je zwei Xeon-Prozessoren arbeiten. Zusätzlich verfügt jeder Knoten über zwei Festplatten mit 15.000
Umdrehungen pro Minute, die RAID-1-Funktionalität bereitstellen. Auch die weiteren Komponenten wie
Kühlventilatoren oder Netzgeräte sind redundant ausgelegt und lassen sich zudem im laufenden
Betrieb austauschen. Die Kommunikationsverbindungen stellt jede Maschine über vier
LAN-Schnittstellen bereit, von denen jede ihre eigene dedizierte Funktion besitzt: Signalisierung,
Gebührendaten (CDR), Administration und Crosslink.

Die eigentliche Basis für die Ausfallsicherheit bildet aber die Software von Openscape Voice,
die eine systemeigene SOA-/Web-Service-Architektur nutzt. Auf unterster Ebene jedes Knotens liegt
als Betriebssystem ein gehärteter Suse-Linux-Enterprise-Kernel 9.x. Direkt auf den Betriebssystemen
beider Maschinen setzt eine Prime-Cluster-Software (PCS) auf, die bereits beide Knoten zu einer
Einheit zusammenfasst. Die darüber liegende so genannte Resilient-Telco-Plattform (RTP) sorgt
dafür, dass die Server über dieselbe IP-Adresse zu erreichen sind, unabhängig davon, wie viele
Maschinen sich tatsächlich dahinter verbergen.

Diese Middleware aktualisiert ihre Informationen zwischen den Maschinen permanent über die
Cross-Channel-Verbindung (für Gesprächszustandsinformationen und Heartbeat) und läuft auch auf nur
einem Server, sobald der andere ausfällt. Auf dieser Ebene ist zusätzlich eine Solid-Tech-Datenbank
integriert. Nach oben hin stellt sie das System-Image für die eigentliche Anwendungssoftware von
Openscape Voice bereit. RTP und PCs bilden gemeinsam mit der Solid-Tech-Datenbank eine Art
Virtualisierungsschicht, die der Anwendungssoftware die getrennten Server einschließlich der
separaten Kerne als eine einzige Maschine präsentiert. Den Ausfall einer Komponente oder eines
ganzen Servers bemerkt die eigentliche Telefonieanwendung deshalb erst gar nicht.

Jede einzelne Maschine beziehungsweise jeder einzelne Kern ist in der Lage, sofort die komplette
Last des Verbindungsaufbaus und der Signalisierung zu übernehmen, da sie im Active/Active-Modus
parallel laufen. Die Gespräche selbst werden nicht mehr über den Server abgewickelt, sondern von
den Teilnehmerendgeräten autonom gehalten. Erst bei weiteren Aktionen wie Vermittlung, Rückfrage,
Konferenz oder Beendigung der Verbindung tritt Openscape Voice wieder in Aktion. Das System "merkt"
sich alle zu einer Verbindung gehörenden Daten und Zustandsinformationen zu aktiven Gesprächen. Da
alle Informationen auf beiden Rechnersystemen identisch sind, wird im Fehlerfall jeder auch bereits
begonnene Verbindungsaufbau ohne Unterbrechung ausgeführt.

Beide Server stehen normalerweise in unterschiedlichen Räumen oder sogar Standorten. Mitunter
kann es sich auch um mehrere Anlagen handeln, die miteinander vernetzt sind. Damit lassen sich
beispielsweise der Signalisierungsstrom oder dedizierte Anwendungen vor Ort bereitstellen, anstatt
sie über transkontinentale Verbindungen leiten zu müssen. Mit einem extrem aktiven TCP-Heartbeat
auf dem Crosslink überwachen sich die zum Netzwerk gehörenden Server gegenseitig auf ihre
Funktionsfähigkeit.

Wird der Heartbeat von einer Maschine nicht mehr erkannt, so kann das am Ausfall der
Zwillingsmaschine oder an einem nicht mehr verfügbaren LAN/WAN liegen. Damit die Server dies
selbstständig herausfinden können, gibt es in Openscape Voice ein Kommunikations-Tool, das eng
getaktet mit der so genannten Survival Authority (SA) in Verbindung steht. Die SA ist eine kleine,
robuste Software, die als Gast auf einem dritten System läuft, zum Beispiel zusammen mit dem
Management-System.

Die SA "weiß" genau, welcher Server als letztes ein Lebenszeichen an sie gesendet hat. Fragt nun
im Fehlerfall eine Maschine bei der SA nach einen Zustandsbericht über die andere Maschine, dann
gibt es zwei Möglichkeiten: Entweder sie erhält die Auskunft, dass auch von der SA zum zweiten
Server keine Verbindung mehr besteht oder sie erhält auch von der SA keine Rückmeldung mehr. Im
ersten Fall übernimmt der anfragende Server den kompletten Funktionsumfang allein und wird somit
zum Master. Im zweiten Fall geht das System davon aus, dass es selbst vom LAN/WAN getrennt wurde
und fährt sich selbst herunter.

Da bei einer WAN-Unterbrechung auch viele Teilnehmer von der zentralen Vermittlung und
Gesprächsführung abgekoppelt werden, tritt in einem solchen Fall eine weitere
Hochverfügbarkeitskomponente in Kraft: die Survival Media Gateways (SMGs). Sie stehen vorwiegend
und ebenfalls redundant in den Außenstellen, gehören zwar nicht direkt zu Openscape Voice, aber zum
Gesamtkonzept der Hochverfügbarkeit um diesen Server. Die SMGs prüfen per Heartbeat, ob die
Kommunikationsstrecke und der Kommunikations-Server noch verfügbar sind. Stellen sie eine
Unterbrechung fest, übernehmen sie automatisch die Vermittlung sowie die Gespräche und leiten sie
über das PSTN (öffentliches Telefonnetz) um.

Dabei übersetzen sie auch die Protokolle zwischen LAN und PSTN. Allerdings können bei dieser
Umschaltung aufgrund der technischen Rahmenbedingungen aktuelle Gespräche und
Verbindungsaufbauversuche verloren gehen. Sie stellen die wesentlichen Grundfunktionen, die für die
Weiterführung des gewohnten Telefondienstes erforderlich sind, zur Verfügung, nicht jedoch den
vollen Funktionsumfang des Haupt-Servers. Die Übernahme zeigen sie in den Telefondisplays an. Ist
der zentrale Server oder die WAN-Strecke wieder verfügbar, regeln sie auch die Wiedereingliederung
in die Stammanlage.

Sicherheit durch SIP

Das Sicherheitsgrundkonzept des Servers beruht auf SIP und auf der Tatsache, dass es dafür
eigentlich keine (auch nicht theoretische) Exploits gibt. SIP-Nachrichten sind sehr strikt
strukturiert. In ihrem Header stehen lediglich Informationen darüber, von wem sie kommen und welche
Aufgabe sie erfüllen. Der Body enthält ebenfalls sehr stark reglementierten Text, und das System
kann damit relativ einfach prüfen, ob ein Paket zum aktuellen Gesprächsstatus passt. Versteht das
System die SIP-Nachricht nicht, dann verwirft es sie.

Zusätzlich überwacht eine integrierte Intrusion-Detection-Funktion den eingehenden und
ausgehenden Datenstrom. Überschreiten eingehende Anfragen von einer einzelnen IP-Adresse an eine
andere einzelne IP-Adresse eine vom Administrator vorgegebene Schwelle, dann blockiert der Server
den gesamten von dieser IP-Adresse stammenden Datenverkehr für einen wählbaren Zeitraum.