A dedikált példányra vonatkozó hálózati követelmények

Fizikai biztonság

Fontos, hogy az Equinix Meet-Me Room helyszínei és a Cisco Dedikált Példány Adatközpont létesítményei fizikai biztonságot kapjanak. Ha a fizikai biztonság veszélybe kerül, egyszerű támadások indíthatók, mint például a szolgáltatás megszakadása az ügyfél kapcsolóinak kikapcsolásával. A fizikai hozzáféréssel a támadók hozzáférhetnek a szervereszközökhöz, visszaállíthatják a jelszavakat, és hozzáférhetnek a kapcsolókhoz. A fizikai hozzáférés a kifinomultabb támadásokat is megkönnyíti, mint például az ember a középsőben támadásokat, ezért kritikus a második biztonsági réteg, a hálózati biztonság.

Az UC-alkalmazásokat tároló célzott példányadatközpontokban önkódoló meghajtókat használnak.

Az általános biztonsági gyakorlatokkal kapcsolatos további információkért tekintse meg a dokumentációt a következő címen: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Hálózati biztonság

A partnereknek biztosítaniuk kell, hogy minden hálózati elem biztosított legyen a dedikált példány infrastruktúrában (amely az Equinixen keresztül kapcsolódik). A partner felelőssége, hogy biztosítsa a biztonsági legjobb gyakorlatokat, mint például:

• Külön VLAN a hang- és adatátvitelhez

• Portbiztonság engedélyezése, amely korlátozza az egy portra engedélyezett MAC-CÍMEK számát a KAMERAASZTAL elárasztása ellen

• IP-forrásvédelem a hamisított IP-címek ellen

• A Dynamic ARP Inspection (DAI) megvizsgálja a címfeloldási protokollt (ARP) és az indokolatlan ARP-t (GARP) a szabálysértések tekintetében (az ARP-hamisítás ellen)

• 802.1x korlátozza a hálózati hozzáférést a hozzárendelt VLAN eszközök hitelesítéséhez (a telefonok támogatják a 802-t.1x)

• A szolgáltatás minőségének konfigurálása (QoS) a hangcsomagok megfelelő jelöléséhez

• Tűzfalport-konfigurációk az egyéb forgalom blokkolására

Végpontok biztonsága

A Cisco végpontok támogatják az alapértelmezett biztonsági funkciókat, mint például az aláírt firmware, a biztonságos rendszerindítás (kiválasztott modellek), a gyártó által telepített tanúsítvány (MIC) és az aláírt konfigurációs fájlok, amelyek bizonyos szintű biztonságot nyújtanak a végpontoknak.

Emellett a partner vagy az ügyfél további biztonságot is engedélyezhet, mint például:

• IP-telefonszolgáltatások titkosítása (HTTPS-en keresztül) olyan szolgáltatásokhoz, mint például a Bővített mobilitás

• Helyi szinten jelentős tanúsítványok (LSC-k) kiadása a hitelesítésszolgáltatói helyettesítési funkció (CAPF) vagy egy közhitelesítésszolgáltató (CA) részéről

• Konfigurációs fájlok titkosítása

• Adathordozó és jel titkosítása

• Tiltsa le ezeket a beállításokat, ha nincsenek használatban: PC-port, PC Voice VLAN Access, ingyenes ARP, Web Access, Beállítások gomb, SSH, konzol

A dedikált példány biztonsági mechanizmusainak bevezetése megakadályozza a telefonok és az Egységesített CM szerver személyazonosság-lopását, az adatok manipulálását és a hívójel / médiafolyam manipulálását.

Dedikált példány a hálózaton keresztül:

• Hitelesített kommunikációs adatfolyamokat hoz létre és tart fenn

• A fájl átvitele előtt digitálisan aláírja a fájlokat a telefonra

• Titkosítja a médiafolyamokat és a hívásjelzést a Cisco egyesített IP telefonok között

Biztonságos UC alkalmazások

A Cisco Unified CM és a CUBE közötti kommunikáció biztosítása

A Cisco Unified CM és a CUBE közötti biztonságos kommunikációhoz A partnereknek/ügyfeleknek saját aláírású vagy CA aláírású tanúsítványokat kell használniuk.

Saját kezűleg aláírt bizonyítványok esetében:

1. A CUBE és a Cisco Unified CM saját aláírású tanúsítványokat generál

2. CUBE export tanúsítvány Cisco Unified CM

3. Cisco Unified CM export tanúsítvány A CUBE-BA

Hitelesítésszolgáltató által aláírt tanúsítványok esetében:

1. Az ügyfél kulcspárt hoz létre, és tanúsítványaláírási kérelmet (CSR) küld a hitelesítésszolgáltatónak (CA)

2. A CA aláírja a privát kulcsával, és létrehoz egy személyazonosító bizonyítványt

3. Az ügyfél telepíti a megbízható CA-gyökér- és közvetítői tanúsítványok listáját és a személyazonosító bizonyítványt

Protokoll összefoglaló

Az alábbi táblázat az Egységes CM megoldásban használt protokollokat és kapcsolódó szolgáltatásokat mutatja be.

Az MRA-konfigurációval kapcsolatos további információkért lásd: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Jabber és Webex biztosítása SIP OAuth segítségével

A Jabber és a Webex kliensek OAuth tokennel kerülnek hitelesítésre a lokálisan szignifikáns tanúsítvány (LSC) helyett, amely nem követeli meg a hitelesítésszolgáltatói proxy funkció (CAPF) engedélyezését (az MRA esetében is). A SIP OAuth munka vegyes üzemmóddal vagy anélkül a Cisco Unified CM 12.5(1), a Jabber 12.5 és az Expressway X12.5 szabványban került bevezetésre.

A Cisco Unified CM 12.5-ben van egy új opciónk a Telefon biztonsági profilban, amely lehetővé teszi a titkosítást LSC/CAPF nélkül, egyetlen Transport Layer Security (TLS) + OAuth token használatával a SIP REGISZTERBEN. Az Expressway-C csomópontok az Adminisztratív XML Web Service (AXL) API segítségével tájékoztatják a Cisco Unified CM-t az SN/SAN-RÓL a tanúsítványukban. A Cisco Unified CM ezeket az információkat arra használja, hogy érvényesítse az EX-C tanúsítványt a kölcsönös TLS kapcsolat létrehozásakor.

A SIP OAuth végponti tanúsítvány (LSC) nélküli adathordozó- és jeltitkosítást tesz lehetővé.

A Cisco Jabber efemer portokat és 6971-es és 6972-es portokat használ https kapcsolaton keresztül a TFTP szerverhez a konfigurációs fájlok letöltéséhez. A 6970-es port nem biztonságos port HTTP-n keresztüli letöltéshez.

További részletek a SIP OAuth konfigurációról: SIP OAuth mód.