Resultado esperado: La PBX presenta un certificado firmado por una Root CA privada. La IP pública del cliente aparece exclusivamente en el Subject Common Name (CN), sin Subject Alternative Name (SAN). Altice importa la Root CA como autoridad confiable.

Compatibilidad: Procedimiento validado para Issabel con Asterisk 11 y chan_sip. En PJSIP los nombres de parámetros y archivos de configuración son diferentes.

Ejemplo del tutorial: Se utilizará 200.10.20.30 como IP ficticia. Sustituirla por la IP pública real del cliente.

FECHA=$(date +%F-%H%M%S)
mkdir -p /root/backup-tls-$FECHA

cp -a /var/lib/asterisk/keys /root/backup-tls-$FECHA/
cp -a /etc/asterisk/sip_general_custom.conf /root/backup-tls-$FECHA/ 2>/dev/null

ls -lah /root/backup-tls-$FECHA

mkdir -p /root/issabelpbx-certificados
cd /root/issabelpbx-certificados

IP_PUBLICA="200.10.20.30"
echo "$IP_PUBLICA"

openssl genrsa -out issabelpbx-root-ca.key 4096
chmod 600 issabelpbx-root-ca.key

Seguridad: issabelpbx-root-ca.key es la clave privada de la CA. No se envía a Altice, no se coloca en correos y debe conservarse en un respaldo seguro.

cat > issabelpbx-root-ca.cnf <<'EOF'
[req]
prompt = no
default_md = sha256
distinguished_name = dn
x509_extensions = v3_ca

[dn]
C = DO
O = IssabelPBX
OU = Voice Security
CN = IssabelPBX Root CA

[v3_ca]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
basicConstraints = critical,CA:TRUE
keyUsage = critical,keyCertSign,cRLSign
EOF

openssl req -x509 -new -key issabelpbx-root-ca.key -sha256 -days 3650 -out issabelpbx-root-ca.crt -config issabelpbx-root-ca.cnf

openssl x509 -in issabelpbx-root-ca.crt -noout -subject -issuer -dates

openssl x509 -in issabelpbx-root-ca.crt -noout -text | grep -A3 "Basic Constraints"

openssl genrsa -out issabelpbx.key 2048
chmod 600 issabelpbx.key

Compatibilidad: RSA 2048 ofrece mayor compatibilidad con SBC antiguos. Si Altice confirma soporte y existe un requerimiento formal, puede usarse RSA 4096.

cat > issabelpbx.cnf <<EOF
[req]
prompt = no
default_md = sha256
distinguished_name = dn

[dn]
C = DO
O = IssabelPBX
OU = VoIP
CN = ${IP_PUBLICA}

[v3_cert]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer
basicConstraints = critical,CA:FALSE
keyUsage = critical,digitalSignature,keyEncipherment
extendedKeyUsage = serverAuth,clientAuth
EOF

Requisito de Altice: No agregar subjectAltName. La IP debe quedar exclusivamente en Subject Common Name (CN).

openssl req -new -key issabelpbx.key -out issabelpbx.csr -config issabelpbx.cnf

openssl req -in issabelpbx.csr -noout -subject

openssl x509 -req -in issabelpbx.csr -CA issabelpbx-root-ca.crt -CAkey issabelpbx-root-ca.key -CAcreateserial -out issabelpbx.crt -days 825 -sha256 -extfile issabelpbx.cnf -extensions v3_cert

cat issabelpbx.key issabelpbx.crt > issabelpbx.pem
chmod 600 issabelpbx.pem

grep "BEGIN" issabelpbx.pem

openssl x509 -in issabelpbx.crt -noout -subject -issuer -dates -serial -fingerprint -sha256

openssl x509 -in issabelpbx.crt -noout -text | grep -A3 "Subject Alternative Name"

openssl verify -CAfile issabelpbx-root-ca.crt issabelpbx.crt

openssl x509 -in issabelpbx.crt -noout -modulus | openssl md5
openssl rsa -in issabelpbx.key -noout -modulus | openssl md5

Entrega habitual: Altice importa issabelpbx-root-ca.crt como Trusted Root CA. La PBX presenta issabelpbx.crt automáticamente durante el handshake TLS.

cp /root/issabelpbx-certificados/issabelpbx.pem /var/lib/asterisk/keys/

cp /root/issabelpbx-certificados/issabelpbx.crt /var/lib/asterisk/keys/

cp /root/issabelpbx-certificados/issabelpbx-root-ca.crt /var/lib/asterisk/keys/

chown asterisk:asterisk /var/lib/asterisk/keys/issabelpbx.pem /var/lib/asterisk/keys/issabelpbx.crt /var/lib/asterisk/keys/issabelpbx-root-ca.crt

chmod 640 /var/lib/asterisk/keys/issabelpbx.pem
chmod 644 /var/lib/asterisk/keys/issabelpbx.crt
chmod 644 /var/lib/asterisk/keys/issabelpbx-root-ca.crt

tlsenable=yes
tlsbindaddr=0.0.0.0:5061
tlsclientmethod=tlsv1_2
tlsdontverifyserver=yes
tlscertfile=/var/lib/asterisk/keys/issabelpbx.pem
tlscafile=/var/lib/asterisk/keys/issabelpbx-root-ca.crt

Importante: tlsdontverifyserver=yes desactiva la validación del certificado remoto por parte de la PBX. No afecta la validación que Altice realiza sobre el certificado de la PBX.

grep -RniE '^(tlsenable|tlsbindaddr|tlsclientmethod|tlsdontverifyserver|tlscertfile|tlscafile)' /etc/asterisk

Plantilla: Los parámetros de autenticación, dominio, DID, codecs y SRTP deben ajustarse a la ficha técnica entregada por Altice.

type=peer
host=IP_SBC_ALTICE
port=5061
transport=tls
context=from-trunk
disallow=all
allow=ulaw
allow=alaw
insecure=port,invite
qualify=yes

; Si Altice exige SRTP:
; encryption=yes

systemctl restart asterisk
systemctl status asterisk --no-pager

asterisk -rx "sip show settings" | grep -i -A5 TLS
ss -lntp | grep 5061

echo | openssl s_client -connect 127.0.0.1:5061 -showcerts 2>/dev/null | openssl x509 -noout -subject -issuer -dates -serial -fingerprint -sha256

echo | openssl s_client -connect 127.0.0.1:5061 -showcerts 2>/dev/null | openssl x509 -noout -text | grep -A3 "Subject Alternative Name"

openssl s_client -connect IP_PUBLICA:5061 -tls1_2 -showcerts

tls.handshake.type == 11

ssl.handshake.type == 11

mkdir -p /root/respaldo-pki-issabelpbx
cp -a /root/issabelpbx-certificados/* /root/respaldo-pki-issabelpbx/
chmod 700 /root/respaldo-pki-issabelpbx
chmod 600 /root/respaldo-pki-issabelpbx/*.key

Conservación: Guardar una copia cifrada y fuera del servidor de issabelpbx-root-ca.key. Sin esa clave no será posible emitir nuevos certificados bajo la misma Root CA.