Merci pour votre commentaire.
Configurer Expressway pour l'authentification TLS mutuelle
Un commentaire ?Pour héberger Webex Meetings sans code PIN sur des appareils locaux, votre Cisco Expressway -E doit proposer des certificats signés par une autorité de certification racine (RCA) fiable pour les connexions TLS mutuelles (mTLS). Vous trouverez la liste des autorités de certification root auxquelles Cisco fait confiance dans cet article. Nous n'autorisons que les connexions dotées de certificats signés en cours de validité.
| 1 |
Accédez à .
 |
| 2 |
Vérifiez si le certificat Expressway actuel existe et s'il est exact.
 |
| 3 |
Si le certificat est installé, vérifiez sa date d'expiration pour voir s'il est valide ou non et remplacez-le par un certificat valide.
 |
| 4 |
Vérifiez quelle autorité de certification racine a signé ce certificat et assurez-vous que son nom figure dans le guide de déploiement d'entreprise. 
Pour plus d'informations, consultez la section Quelles autorités de certification racine sont prises en charge pour les appels vers des plateformes Cisco Webex audio et vidéo. |
| 5 |
Vérifiez si le SAN (nom alternatif du sujet) est configuré sur le certificat, conformément aux paramètres de l'organisation.
 |
| 6 |
À l'aide d'un appareil vidéo, appelez dans votre chambre personnelle. Si vous parvenez à vous connecter, c'est que la connexion est réussie. |
| 7 |
Une fois les configurations terminées, passez à la section suivante. |
Si l'une des conditions suivantes est vraie, générez un CSR.
-
Si vous n'avez pas de certificat de serveur Expressway
-
Si le certificat est expiré
-
Si le SAN doit être mis à jour, c'est que le nom du SAN ne correspond pas au nom d'utilisateur SIP
| 1 |
Générez le processus CSR (demande de signature de certificat).
 |
| 2 |
Assurez-vous que le SAN dont vous avez besoin pour le certificat figure dans le champ Nom alternatif supplémentaire.
 |
| 3 |
Soumettez votre CSR à l'autorité de certification racine de votre choix. Choisissez une autorité de certification dans la liste des personnes prises en charge. Reportez-vous à la section Générer une demande de signature de certificat du Guide de déploiement Cisco Webex Meetings Enterprise pour les réunions utilisant des appareils vidéo. |
| 4 |
Faites signer le certificat par l'autorité de certification racine. |
| 5 |
Si vous avez utilisé un système externe pour générer le CSR, vous devez également télécharger le fichier PEM de clé privée du serveur qui a été utilisé pour crypter le certificat du serveur. (Le fichier de clé privée aurait été automatiquement généré et stocké plus tôt si l'Expressway avait été utilisée pour produire le CSR de ce certificat de serveur.)
|
| 6 |
Cliquez sur Charger les données du certificat du serveur.
 |
| 7 |
Une fois les configurations terminées, passez à la section suivante. |
| 1 |
Téléchargez le fichier IDenTrust Commercial Root CA
1 |
| 2 |
Sur toutes vos autoroutes utilisées pour les services hybrides, accédez à Certificate. |
| 3 |
Accédez à Parcourir, chargez le fichier |
| 4 |
Vérifiez que le certificat a bien été chargé et qu'il est présent sur l'Expressway Trust Store. |
-
Vérifiez si une zone de système de noms de domaine (DNS) est configurée sur votre Expressway.
-
Les deux types d'appels utilisant le DNS sont les appels B2B (existants) et les appels Webex. Si les appels B2B sont déjà configurés, nous vous recommandons de créer une zone DNS unique pour les appels Webex qui obligent Webex à utiliser les mTLS.
Sur les versions X8.10 et supérieures d'Expressway, suivez les étapes pour modifier et créer une zone DNS.
Avant de procéder à la configuration des autoroutes, sauvegardez vos paramètres existants, afin de pouvoir toujours les rétablir et revenir à un état opérationnel.
| 1 |
Accédez à
 |
| 2 |
Si vous possédez déjà une zone DNS, sélectionnez-la et modifiez-la.
 |
| 3 |
S'il n'existe pas de zone DNS, procédez comme suit :
|
| 4 |
Assurez-vous que les appels sont validés et que les appels B2B ne sont pas affectés. Pour éviter les problèmes de résolution DNS, cliquez ici. |
| 5 |
Une fois les configurations terminées, passez à la section suivante. |
Configurez le pare-feu des composants de votre réseau afin de bénéficier d'une expérience Webex de la plus haute qualité sur vos ordinateurs, appareils mobiles et appareils vidéo.
-
Vérifiez la plage des ports multimédia utilisés par les appareils vidéo.
Ces ports sont fournis à titre de référence. Reportez-vous au guide de déploiement et aux recommandations du fabricant pour plus de détails.
Tableau 1. Ports par défaut utilisés par les appareils de collaboration vidéo Protocole
Numéro (s) de port
Direction
Type d'accès
Commentaires
TCP
5060-5070
Sortant
Signalisation SIP
Le Webex Media Edge écoute sur 5060 à 5070. Pour plus d'informations, consultez le guide de configuration du service spécifique utilisé : Cisco Webex Meetings Enterprise Deployment Guide for Video Device Meetings.
TCP
5060, 5061 et 5062
Entrant
Signalisation SIP
Trafic de signalisation SIP entrant depuis le cloud Cisco Webex
TCP / UDP
Ports éphémères 36000-59999
Entrant et sortant
Ports multimédia
Si vous utilisez unCisco Expressway, les plages de médias doivent être réglées entre 36 000 et 5 9999. Si vous utilisez un appareil vidéo tiers ou si vous utilisez le contrôle des appels, celui-ci doit être configuré pour utiliser cette plage.
Pour plus d'informations sur les paramètres du pare-feu, voir Comment autoriser le Webex Meetings trafic sur mon réseau.
