Netzwerkanforderungen für dedizierte Instanz

Physische Sicherheit

Es ist wichtig, die Standorte von Equinix Meet-Me-Raum und Cisco . physisch zu schützen Dedizierte Instanz Rechenzentrumseinrichtungen. Wenn die physische Sicherheit gefährdet ist, können einfache Angriffe wie Dienstunterbrechungen durch Herunterfahren der Switches eines Kunden initiiert werden. Mit dem physischen Zugriff könnten Angreifer Zugang zu Servergeräten erhalten, Passwörter zurücksetzen und Zugang zu Switches erhalten. Der physische Zugriff ermöglicht auch raffiniertere Angriffe wie Man-in-the-Middle-Angriffe, weshalb die zweite Sicherheitsebene, die Netzwerksicherheit, von entscheidender Bedeutung ist.

Selbstverschlüsselnde Laufwerke werden verwendet in Dedizierte Instanz Rechenzentren, die UC-Anwendungen Gastgeber .

Weitere Informationen zu allgemeinen Sicherheitspraktiken finden Sie in der Dokumentation an der folgenden Stelle: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Netzwerksicherheit

Partner müssen sicherstellen, dass alle Netzwerkelemente geschützt sind Dedizierte Instanz Infrastruktur (die über Equinix verbunden ist). Es liegt in der Verantwortung des Partners, bewährte Verfahren Sicherheitspraktiken zu gewährleisten, wie z. B.:

• Separates VLAN für Sprache und Daten

• Aktivieren Sie die Port-Sicherheit, um die Anzahl der pro Port zulässigen MAC -Adressen zu beschränken, um eine Überlastung der CAP-Tabellen zu verhindern

• IP Source Guard gegen gefälschte IP -Adressen

• Dynamische ARP-Inspektion (DAI) untersucht Address Resolution Protocol (ARP) und Gratuitous ARP (GARP) auf Verstöße (gegen ARP-Spoofing)

• 802.1x schränkt den Netzwerkzugriff ein, um Geräte in zugewiesenen VLANs zu authentifizieren (Telefone unterstützen 802.1x )

• Konfiguration der Servicequalität (QoS) für die entsprechende Markierung von Sprachpaketen

• Konfiguration der Firewall-Ports zum Ausblenden jeglichen anderen Datenverkehrs

Endpunktsicherheit

Cisco Endpunkte unterstützen standardmäßige Sicherheitsfunktionen wie signierte Firmware, Secure Boot (ausgewählte Modelle), vom Hersteller installiertes Zertifikat (MIC) und signierte Konfigurationsdateien, die ein bestimmtes Maß an Sicherheit für Endpunkte bieten.

Darüber hinaus kann ein Partner oder Kunde zusätzliche Sicherheit aktivieren, wie z. B.:

• Verschlüsseln von IP-Telefon (über HTTPS) für Dienste wie Extension Mobility

• Stellen Sie LSCs (Locally Significant Certificate) über die CAPF (Certificate Authority Proxy Function) (CAPF) oder eine öffentliche Zertifizierungsstelle (CA) aus.

• Konfigurationsdateien verschlüsseln

• Medien und Signale verschlüsseln

• Deaktivieren Sie diese Einstellungen, wenn sie nicht verwendet werden: PC-Port, PC -Sprach- VLAN -Zugriff, Gratuitous ARP, Webzugriff, Schaltfläche „Einstellungen“, SSH, Konsole

Implementierung von Sicherheitsmechanismen im Dedizierte Instanz Verhindert Identitätsdiebstahl der Telefone und des Unified CM-Server, Datenmanipulationen und Manipulationen der Anrufsignalisierung/Medien-Streams.

Dedizierte Instanz über das Netzwerk:

• Erstellt und verwaltet authentifizierte Kommunikationsströme

• Signiert Dateien digital, bevor die Datei auf das Telefon übertragen wird

• Verschlüsselt Medienstreams und Anrufsignale zwischen Cisco Unified IP -Telefonen

Sichere UC-Anwendungen

Sichern der Kommunikation zwischen Cisco Unified CM und CUBE

Für eine sichere Kommunikation zwischen Cisco Unified CM und CUBE müssen Partner/Kunden entweder selbstsignierte Zertifikate oder CA-signierte Zertifikate verwenden.

Für selbstsignierte Zertifikate:

1. CUBE und Cisco Unified CM generieren selbstsignierte Zertifikate

2. CUBE exportiert das Zertifikat in Cisco Unified CM

3. Cisco Unified CM exportiert Zertifikat in CUBE

Für CA-signierte Zertifikate:

1. Client generiert ein Schlüsselpaar und sendet eine Zertifikatsignieranforderung (CSR) an die Certificate Authority (CA)

2. Die CA signiert es mit ihrem privaten Schlüssel und erstellt ein Identitätszertifikat

3. Der Client installiert die Liste der vertrauenswürdigen CA-Stamm- und Zwischenzertifikate sowie das Identitätszertifikat

Protokollübersicht

In der folgenden Tabelle sind die Protokolle und die zugehörigen Dienste aufgeführt, die in der Unified CM -Lösung verwendet werden.

Weitere Informationen zur MRA-Konfiguration finden Sie unter: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Sicherung von Jabber und Webex mit SIP OAuth

Jabber- und Webex -Clients werden über ein OAuth-Token anstelle eines Locally Significant Certificate (LSC) authentifiziert, das keine Aktivierung der CAPF (Certificate Authority Proxy Function) (CAPF) erfordert (auch für MRA). SIP OAuth, das mit oder ohne gemischten Modus funktioniert, wurde in Cisco Unified CM 12.5(1), Jabber 12.5 und Expressway X12.5 eingeführt.

In Cisco Unified CM 12.5 gibt es eine neue Option im Telefonsicherheitsprofil, die eine Verschlüsselung ohne LSC/ CAPF mit einem einzelnen Transport Layer Security (TLS) + OAuth-Token im SIP REGISTER ermöglicht. Expressway-C-Knoten verwenden die Administrative XML Web Service (AXL) API , um Cisco Unified CM über den SN/SAN in ihrem Zertifikat zu informieren. Cisco Unified CM verwendet diese Informationen, um das Exp-C-Zertifikat beim Einrichten einer Mutual TLS -Verbindung zu validieren.

SIP OAuth ermöglicht die Verschlüsselung von Medien und Signalen ohne Endpunktzertifikat (LSC).

Cisco Jabber verwendet kurzlebige Ports und sichere Ports 6971 und 6972 über eine HTTPS-Verbindung zum TFTP -Server, um die Konfigurationsdateien herunterzuladen. Port 6970 ist ein nicht sicherer Port für Downloads über HTTP.

Weitere Details zur SIP -OAuth-Konfiguration: SIP -OAuth-Modus .