Configuration réseau requise pour l'instance dédiée

Sécurité physique

Il est important de fournir une sécurité physique aux emplacements des salles Meet-Me Equinix et Cisco Instance dédiée Installations du centre de données. Lorsque la sécurité physique est compromise, des attaques simples telles qu'une interruption de service en coupant l'alimentation des commutateurs d'un client peuvent être lancées. Avec un accès physique, les attaquants peuvent accéder aux périphériques du serveur, réinitialiser les mots de passe et accéder aux commutateurs. L'accès physique facilite également les attaques plus sophistiquées telles que les attaques de l'intercepteur, c'est pourquoi la deuxième couche de sécurité, la sécurité du réseau, est essentielle.

Les lecteurs à chiffrement automatique sont utilisés dans Instance dédiée Centres de données qui hébergent des applications UC.

Pour plus d’informations sur les pratiques générales de sécurité, reportez-vous à la documentation à l’emplacement suivant : https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Sécurité du réseau

Les partenaires doivent s'assurer que tous les éléments du réseau sont sécurisés dans Instance dédiée infrastructure (qui se connecte via Equinix). Il est de la responsabilité du partenaire de garantir les bonnes pratiques de sécurité telles que :

• VLAN distinct pour la voix et les données

• Activer la sécurité des ports qui limite le nombre d'adresses MAC autorisées par port, contre l'inondation de la table CAM

• IP Source Guard contre les adresses IP falsifiées

• L’inspection ARP dynamique (DAI) examine le protocole de résolution d’adresse (ARP) et l’ARP gratuit (GARP) pour détecter les violations (contre l’usurpation d’identité ARP)

• 802.1x limite l'accès au réseau pour authentifier les périphériques sur les VLAN attribués (les téléphones prennent en charge 802.1x )

• Configuration de la qualité de service (QoS) pour le marquage approprié des paquets vocaux

• Configurations des ports du pare-feu pour bloquer tout autre trafic

Sécurité des points de terminaison

Les points de terminaison Cisco prennent en charge les fonctionnalités de sécurité par défaut telles que le micrologiciel signé, le démarrage sécurisé (certains modèles), le certificat installé par le fabricant (MIC) et les fichiers de configuration signés, qui fournissent un certain niveau de sécurité pour les points de terminaison.

En outre, un partenaire ou un client peut activer une sécurité supplémentaire, telle que :

• Chiffrer les services téléphone IP (via HTTPS) pour des services tels que la Extension Mobility de poste

• Émettre des certificats d'importance locale (LSC) à partir de la fonction proxy de l'autorité de certification (CAPF) ou d'une autorité de certification publique (CA)

• Chiffrer les fichiers de configuration

• Chiffrer les médias et la signalisation

• Désactivez ces paramètres s'ils ne sont pas utilisés : port PC PC, accès PC Voice VLAN, ARP gratuit, accès Web, bouton Paramètres, SSH, console

Mettre en œuvre des mécanismes de sécurité dans le Instance dédiée empêche l’usurpation d’identité des téléphones et du serveur Unified CM, la falsification des données et la falsification de la signalisation d’appel/du flux média.

Instance dédiée sur le réseau :

• Établit et maintient des flux de communication authentifiés

• Signer numériquement les fichiers avant de les transférer sur le téléphone

• Chiffre les flux média et la signalisation des appels entre les téléphones IP Cisco Unified

Applications UC sécurisées

Sécurisation des communications entre Cisco Unified CM et CUBE

Pour des communications sécurisées entre Cisco Unified CM et CUBE, les partenaires/clients doivent utiliser un certificat auto-signé par une autorité de certification.

Pour les certificats auto-signés :

1. CUBE et Cisco Unified CM génèrent des certificats auto-signés

2. CUBE exporte le certificat vers Cisco Unified CM

3. Cisco Unified CM exporte le certificat vers CUBE

Pour les certificats signés par une autorité de certification :

1. Le client génère une paire de clés et envoie une demande de signature de certificat (CSR) à l' autorité de certification (CA)

2. L'autorité de certification le signe avec sa clé privée, créant un certificat d'identité

3. Le client installe la liste des certificats CA racine et intermédiaire de confiance et le certificat d'identité

Résumé du protocole

Le tableau suivant présente les protocoles et les services associés utilisés dans la solution Unified CM .

Pour plus d’informations sur la configuration MRA, voir : https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Sécuriser Jabber et Webex avec SIP OAuth

Les clients Jabber et Webex sont authentifiés via un jeton OAuth au lieu d'un certificat localement important (LSC), qui ne nécessite pas l'activation de la fonction proxy d'autorité de certification (CAPF) (pour MRA également). SIP OAuth fonctionnant avec ou sans mode mixte a été introduit dans Cisco Unified CM 12.5(1), Jabber 12.5 et Expressway X12.5.

Dans Cisco Unified CM 12.5, nous avons une nouvelle option dans le profil de sécurité du téléphone qui permet le chiffrement sans LSC/CAPF, en utilisant un seul jeton Transport Layer Security (TLS) + OAuth dans SIP REGISTER. Les nœuds Expressway-C utilisent l' API Administrative XML Web Service (AXL) pour informer Cisco Unified CM du SN/SAN dans leur certificat. Cisco Unified CM utilise ces informations pour valider le certificat Exp-C lors de l'établissement d'une connexion TLS mutuelle.

SIP OAuth permet le chiffrement des médias et de la signalisation sans certificat de point de terminaison (LSC).

Cisco Jabber utilise les ports éphémères et les ports sécurisés 6971 et 6972 via une connexion HTTPS au serveur TFTP pour télécharger les fichiers de configuration. Le port 6970 est un port non sécurisé pour le téléchargement via HTTP.

Plus de détails sur la configuration SIP OAuth : Mode OAuth SIP .