Configuration minimale requise du réseau pour les services Webex Teams
Cet article était initialement en anglais et a été traduit automatiquement. Aucune garantie d’aucune sorte, expresse ou implicite, n’est attribuée quant à l’exactitude, la précision ou la fiabilité des traductions automatiques de l’anglais vers une quelconque autre langue. Cisco n’est pas responsable des informations inexactes, des erreurs ou des préjudices causés par une traduction incorrecte du contenu ou par l’utilisation inappropriée des informations.
Configuration minimale requise du réseau pour les services Webex TeamsHistorique de révision des documents Cet article est destiné aux administrateurs réseau, en particulier les administrateurs des pare-feu et de la sécurité Web. Il vous aidera à configurer votre réseau pour la prise en charge de l’application Webex Teams (anciennement appelée Cisco Spark). Pour les exigences réseau pour les clients de Webex Meetings classiques voir WBX264 - Comment puis-je autoriser le trafic Webex Meetings sur mon réseau ? Configuration minimale du réseau Webex Teams requiseToutes les applications et périphériques Webex Teams initient des connexions sortantes uniquement. Le Cloud Webex n’initie jamais de connexions vers les applications et les périphériques Webex Teams. Les services Webex Teams sont hébergés dans des centres de données distribués à l’échelle internationale, qui appartiennent soit à Cisco (par exemple les centres de données Webex pour les services d’identité, les services de gestion de clés et les serveurs média) ou qui sont hébergés dans un Cloud Cisco Virtuel privé (Cisco Virtual Private Cloud (VPC)) sur la plateforme Amazon AWS (par exemple les microservices Webex Teams, les services de stockage de messages et de fichiers). Toutes les données sont chiffrées en transit et au repos. Types de traficLes applications et périphériques Webex Teams utilisent deux types de trafic : signalisation et médiaTrafic de signalisation Les applications et périphériques Webex Teams utilisent les protocoles HTTPS et WSS (secure websockets) pour la signalisation. Le trafic de signalisation est protégé par TLS à l’aide de suites de chiffrement robustes (tailles de clé de chiffrement symétriques à 256 ou 128 bits, fonctions de hachage SHA-2). Les suites de chiffrement TLS utilisant des clés de chiffrement symétriques à 256 bits sont préférées, par exemple : TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 Les versions TLS 1.2 et 1.1 uniquement sont prises en charge par les services Webex Teams. Toutes les fonctionnalités de Webex Teams autres que les médias en temps réel dépendent de la signalisation TLS. URLs Webex Teams pour le trafic de signalisation Si vous avez déployé des proxis ou des pare-feu pour filtrer le trafic quittant votre réseau d’entreprise, la liste des URLs de destination qui doivent figurer dans la liste blanche pour accéder au service Webex Teams est disponible ici URLs Webex Teams. Le filtrage du trafic de signalisation Webex Teams par adresse IP n’est pas pris en charge car les adresses IP utilisées par Webex Teams sont dynamiques et peuvent changer à tout moment. Trafic média Les applications et les périphériques Webex Teams utilisent le média en temps réel pour les diffusions audio, vidéo et le partage de contenu. En règle générale*, les médias provenant de toutes les applications ou de tous les périphériques Webex Teams transitent à partir de l’emplacement de l’utilisateur vers les nœuds médias dans le Cloud Webex, où les flux sont mixés et distribués. Tel est le cas pour tous les types d’appels 1 à 1 par exemple, les appels entre plusieurs personnes. (*Des nœuds de maillage vidéo sur site peuvent également être déployés pour mixer et distribuer des médias localement). Cisco sécurise tous les flux médias Webex Teams en utilisant le protocole Secure Real Transport Protocol (SRTP), décrit dans RFC 3711. Les applications et les périphériques Cisco chiffrent les médias avec la suite cryptographique AES_CM_128_HMAC_SHA1_80. Conformément au protocole RFC 3711, Cisco recommande fortement l’UDP comme protocole de transport pour les flux média audio et vidéo de Webex teams. Les applications et les périphériques Webex Teams prennent également en charge le protocole TCP comme protocole de transport de média de secours. Toutefois, Cisco ne recommande pas le protocole TCP comme protocole de transport pour les flux de médias audio et vidéo. En effet, TCP est un protocole de transport orienté connexion et conçu pour fournir de manière fiable, correctement classées, des données aux protocoles de couche de niveau supérieur. En utilisant le protocole TCP, l’expéditeur retransmet les paquets perdus jusqu’à ce qu’ils soient acceptés et le destinataire met le flux de paquets en tampon jusqu’à ce que les paquets perdus soient récupérés. Pour les flux de médias, ce comportement se manifeste par une latence/gigue accrue, qui à son tour affecte la qualité des médias vécue par les participants de l’appel. Les applications Webex Teams prennent également en charge le protocole TLS (HTTPS) en tant qu’option tertiaire pour le transport de médias. L’utilisation de TLS peut également signifier que ce trafic média de Webex Teams devra passer par le serveur proxy de l’entreprise pour atteindre les serveurs média dans le Cloud Webex. Étant donné que les serveurs proxy sont principalement conçus pour intercepter et rediriger le trafic Web HTTP, la qualité du média peut être affectée si le serveur proxy atteint son seuil de performance et perd des paquets lors du traitement d’un grand nombre de flux média à large bande passante. Les flux de médias Webex Teams circulent dans les deux sens à l’aide d’un flux sortant symétrique intérieur, à 5 tubes (Adresse IP source, adresse IP de destination, port source, port de destination, protocole) vers le Cloud Webex. Webex Teams utilise également STUN (RFC 5389) pour la traversée du pare-feu et les tests d’accessibilité du nœud média. Pour en savoir plus, veuillez consulter le Livre blanc sur le pare-feu de Webex Teams. Webex Teams – Plages d’adresses IP de destination pour les médias
Si vous souhaitez contrôler la destination du trafic multimédia quittant votre réseau d’entreprise, les plages des adresses IP de destination pour le trafic média envoyé vers les nœuds de médias Webex Teams peuvent être trouvés ici : Sous-réseaux IP Webex Teams pour les médias Trafic Webex Teams à travers les proxys et les pare-feuLa plupart des clients déploient un pare-feu Internet, ou un proxy Internet et un pare-feu, pour limiter et contrôler le trafic HTTP qui quitte et entre dans leur réseau. Suivez les instructions concernant le pare-feu et le proxy ci-dessous pour activer l’accès aux services Webex Teams à partir de votre réseau.Configuration du pare-feuSi vous utilisez uniquement un pare-feu, veuillez noter que le filtrer le trafic de signalisation Webex Teams en utilisant les adresses IP n’est pas compatible, car les adresses IP utilisées par la signalisation Webex Teams sont dynamiques et peuvent changer à tout moment. Si votre pare-feu prend en charge le filtrage des URLs, mettez dans la liste blanche les URL de destination de Webex Teams listées ici URLs Webex Teams.Applications et périphériques Webex TeamsLe tableau suivant décrit les ports et les protocoles utilisés par les applications et les périphériques Webex Teams.
Sous-réseaux IP Webex Teams pour les médias
Webex ne prend pas en charge et ne recommande pas le filtrage des adresses IP pour une région géographique spécifique. Le filtrage par région peut entraîner une sérieuse dégradation de l’expérience de réunion Webex Teams pouvant aller jusqu’à l’impossibilité de participer entièrement aux réunions. (1) L’utilisation du port 33434 pour les médias est devenue obsolète, mais pour des raisons de rétrocompatibilité, Webex Teams continuera de tester et d’utiliser ces ports si le port 5004 n’est pas ouvert. Remarque - Les clients Webex Meetings classiques utilisent actuellement le port UDP 9000 pour les médias. Pour plus de détails, voir WBX264 - Comment puis-je autoriser le trafic Webex Meetings sur mon réseau ? Configuration du proxyNombre d’organisations utilise proxys pour inspecter et contrôler le trafic de l’utilisateur qui quitte leur réseau. Les proxy peuvent être utilisés pour exécuter un certain nombre de fonctions de sécurité telles que mettre des URL dans la liste blanche et la liste noire, l’authentification des utilisateurs, la recherche de réputation de l’adresse IP/domaine/nom d’hôte/URI, le décryptage et l’inspection du trafic. Les fonctions de proxy pertinentes à Webex Teams sont présentées ci-dessous. URLs Webex TeamsLe tableau suivant décrit les URLs utilisées par Webex Teams. Si votre organisation utilise un proxy, vérifiez que ces URLs sont accessibles. Pour plus de détails sur la façon dont Webex Teams gère les données envoyées vers ces URLs, consultez le livre blanc Sécurité et confidentialité de Webex Teams.
** Webex Teams utilise des tierces parties pour la collecte des données de diagnostic et de dépannage ; et la collecte des métriques d’arrêt et d’utilisation. Les données qui peuvent être envoyées à ces sites tiers sont décrites dans la fiche technique de Confidentialité de Webex. Pour en savoir plus, voir : https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-webex-privacy-data-sheet.pdf URL supplémentaires pour les services hybrides Webex Teams
** Nous prévoyons d’éliminer l’utilisation de *.docker.com et *.docker.io pour les conteneurs de services hybrides, qui seront éventuellement remplacés par *amazonaws.com. Fonctionnalités du proxyPrise en charge de l’authentification du proxyLes proxy peuvent être utilisés comme dispositifs de contrôle d’accès, bloquant l’accès aux ressources externes jusqu’à ce que l’utilisateur/le périphérique fournisse des autorisations d’accès valides au proxy. Plusieurs méthodes d’authentification sont prises en charge par les proxis, telles que l’authentification de base, l’authentification Digest, (basée sous Windows) NTLM, Kerberos et Negotiate (Kerberos avec renvoi NTLM).
(1) : Authentification Mac NTLM - La machine ne doit pas être connectée au domaine, l’utilisateur est invité à saisir un mot de passe Inspection du proxy et épinglage du certificatWebex Teams valide les certificats des systèmes avec lesquels il communique. Ceci est effectué en s’assurant que les certificats présentés lors de l’établissement d’une session TLS peuvent être validés par rapport à la liste des certificats de l’autorité de certification racine de confiance installés dans le système d’exploitation du périphérique et les PIN (hachages) des clés publiques des certificats intermédiaires installés dans l’application Webex Teams. Webex Teams garantit également que les certificats ne sont pas délivrés par une autorité de certification connue comme étant malveillante ou compromise.
802. 1 X – Contrôle d’accès réseau basé sur un port
Maillage vidéo Cisco WebexLe Maillage vidéo Cisco Webex fournit une destination pour le trafic média sur votre réseau. Au lieu que tous les médias aillent ver le Cloud Webex, ils peuvent rester sur votre réseau, permettant ainsi une réduction de l’utilisation de la bande passante et une meilleure qualité média. Pour en savoir plus, voir le Guide de déploiement du Maillage vidéo Cisco Webex.
|
| Périphériques utilisant cette règle | Vos réseaux | TOUT | Protocole | Description | Périphériques utilisant cette règle |
|---|---|---|---|---|---|
| Vos réseaux | TOUS | 123 | UDP | Synchronisation de l’heure NTP (Protocole d’heure réseau) | Webex Calling : téléphones Cisco avec micrologiciel multiplateformes (Téléphones MPP) : téléphones IP série 6800 téléphones IP série 7800 téléphone de conférence 7832 téléphones vidéo 88x5 |
| Vos réseaux | TOUS | 3478 | UDP | Serveur audio et vidéo TURN | |
| Vos réseaux | TOUS | 24000-29999, 36000-59999 | UDP | Média audio & vidéo SRTP | |
| Vos réseaux | TOUS | 5061 | TLS | Signalisation SIP | |
| Vos réseaux | TOUS | 8443 | TLS | Signalisation |
Historique des révisions de documents - Exigences réseau pour les services Webex Teams
| Date de révision | Nouveautés et mises à jour |
| 14/10/2019 | Prise en charge de l’inspection TLS pour les périphériques de salle ajoutés |
| 16/09/2019 | Ajout de la prise en charge TCP requise pour les systèmes DNS utilisant TCP comme protocole de transport. Ajout de l’URL *.walkme.com – ce service fournit des visites d’intégration et d’utilisation pour les nouveaux utilisateurs. Modifications apportées aux URL du service utilisées par l’Assistant Web. |
| 28/08/2019 | L’URL *.sparkpostmail1.com a été ajoutée service de messagerie électronique pour les actualités (newsletters), informations d’inscription, annonces |
| 20/08/2019 | Prise en charge du proxy ajoutée pour le nœud de maillage vidéo et le service de sécurité des données hybrides |
| 15/08/2019 | Présentation de Cisco et du Centre de données AWS utilisé pour le service Webex Teams. L’URL *.webexcontent.com a été ajoutée pour le stockage de fichiers Remarque sur la désapprobation de clouddrive.com pour le stockage de fichiers L’URL *.walkme.com a été ajoutée pour les métriques et les tests |
| 12/07/2019 | Les URL *.activate.cisco.com et *.webapps.cisco.com ont été ajoutées Les URL de texte vers la parole ont été remplacées par *.speechgoogleapis.wbx2.com et *.texttospeech-googleapis.wbx2.com URL *.quay.io supprimée L’URL des conteneurs des services hybrides a été mise à jour et remplacée par *.amazonaws.com |
| 27/06/2019 | Ajout de l’exigence de la liste blanche *.accompany.com pour les la fonctionnalité People Insights |
| 25/04/2019 | Ajout de « Services Webex Teams » pour la ligne concernant la prise en charge de la version TLS. Ajout de « Webex Teams » à la ligne des flux multimédias sous le trafic média. Ajout de « géographique » avant la région dans les sous-réseaux IP Webex Teams pour la section média. D’autres modifications mineures ont été apportées au libellé. Le tableau des URL de Webex Teams a été modifié, en mettant à jour l’URL pour les tests et les métriques A/B et en ajoutant une nouvelle ligne pour les services Google Speech. Dans la section « URL supplémentaires pour les services hybrides Webex Teams », supprimez les informations de la version « 10.1 » après AsyncOS. Le texte a été modifié dans la section « Prise en charge de l’authentification du proxy ». |
| 26/03/2019 | Changement de l’URL associée ici « Veuillez vous référer au document de configuration de WSA Webex Teams pour obtenir des instructions » de l’adresse https://www.cisco.com/c/dam/en/us/products/collateral/security/web-security-appliance/guide-c07-739977.pdf vers https://www.cisco.com/c/en/us/td/docs/security/wsa/wsa11-5/user_guide/b_WSA_UserGuide_11_5_1.html L’URL « api.giphy.com » a été remplacée par *.giphy.com |
| 21/02/2019 | Modification de « Webex Calling » pour lire « Webex Calling (anciennement Spark Calling) comme demandé par John Costello, en raison du lancement à venir du même nom- Webex Calling par BroadCloud. |
| 06/02/2019 | Mise à jour du texte « Nœud média hybride » par « Nœud de maillage vidéo Webex » |
| 11/01/2019 | Mise à jour du texte « Fichiers chiffrés de bout en bout chargés vers les espaces Webex Teams et stockage des avatars » pour maintenant lire « Les fichiers chiffrés de bout en bout chargés vers les espaces Webex Teams, stockage des avatars, logos des marques Webex Teams » |
| 09/01/2019 | Modification pour supprimer la ligne suivante : « *Pour que les périphériques de salle Webex Teams obtiennent le certificat de l’autorité de certification nécessaire pour valider la communication par l’intermédiaire de votre proxy d’inspection TLS, veuillez contacter votre Responsable clientèle ou ouvrir un dossier auprès du CAT Cisco. » |
| 5 décembre 2018 | URL mises à jour : « https:// » a été supprimé de 4 entrées dans le tableau des URL de Webex Teams : https://api.giphy.com -> api.giphy.com https://safebrowsing.googleapis.com -> safebrowsing.googleapis.com http://www.msftncsi.com/ncsi.txt -> msftncsi.com/ncsi.txt https://captive.apple.com/hotspot-detect.html -> captive.apple.com/hotspot-detect.html
|
| 30 novembre 2018 | Nouvelles URL : *.ciscosparkcontent.com, *.storage101.ord1.clouddrive.com, *.storage101.dfw1.clouddrive.com, *.storage101.iad3.clouddrive.com, https://api.giphy.com, https://safebrowsing.googleapis.com, http://www.msftncsi.com/ncsi.txt, https://captive.apple.com/hotspot-detect.html, *.segment.com, *.segment.io, *.amplitiude.com,*.eum-appdynamics.com, *.docker.io, *.core-os.net, *.s3.amazonaws.com, *.identity.api.rackspacecloud.com |
| Prise en charge des méthodes d’authentification proxy supplémentaires pour Windows, iOS et Android | |
| Webex Board adopte le système d’exploitation du périphérique de salle et ses fonctionnalités ; Fonctionnalités proxy partagées par les périphériques de salle : série SX, DX, MX, Room kit et Webex Board | |
| Prise en charge de l’inspection TLS par les applications iOS et Android | |
| Suppression de la prise en charge de l’inspection TLS supprimée sur les périphériques de salles : série SX, DX, MX, Room kit et Webex Board | |
| Webex Board adopte le système d’exploitation du périphérique de salle et ses fonctionnalités ; prise en charge de 802.1X | |
| 21 novembre 2018 | La remarque ci-dessus a été ajoutée aux sous-réseaux IP pour la section Média : la liste des plages IP ci-dessus pour les ressources média du Cloud n’est pas exhaustive et il peut y avoir d’autres plages IP utilisées par Cisco Webex Teams qui ne figurent pas dans la liste ci-dessus. Cependant, l’application et les périphériques Webex Teams pourront fonctionner normalement sans pouvoir se connecter aux adresses IP média non listées. |
| 19 octobre 2018 | Remarque ajoutée : utilisation par Webex Teams de tierces parties pour la collecte des données de diagnostic et de dépannage ; et la collecte des métriques de pannes et d’utilisation. Les données qui peuvent être envoyées à ces sites tiers sont décrites dans la fiche technique de Confidentialité de Webex. Pour obtenir des détails, voir : https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-webex-privacy-data-sheet.pdf |
| Tableau séparé pour les URL supplémentaires utilisées par les services hybrides : *.cloudfront.net, *.docker.com, *.quay.io, *.cloudconnector.cisco.com, *.clouddrive.com | |
| 7 août 2018 | Remarque ajoutée au tableau des ports et des protocoles : si vous configurez un serveur NTP et DNS local dans l’OVA du nœud de maillage vidéo, alors les ports 53 et 123 n’ont pas besoin d’être ouverts par le pare-feu. |
| 7 mai 2018 | Révision substantielle des documents |
