A dedikált példány hálózati követelményei

Fizikai biztonság

Fontos, hogy fizikai biztonságot nyújtsunk az Equinix Meet-Me Room helyszíneken és a Cisco dedikált példány adatközponti létesítményeiben. Ha a fizikai biztonság veszélybe kerül, egyszerű támadások, például szolgáltatásmegszakítások kezdeményezhetők az ügyfél kapcsolóinak áramellátásának leállításával. Fizikai hozzáféréssel a támadók hozzáférhetnek a kiszolgálóeszközökhöz, visszaállíthatják a jelszavakat, és hozzáférhetnek a kapcsolókhoz. A fizikai hozzáférés is megkönnyíti a kifinomultabb támadásokat, például az ember-közép támadásokat, ezért a második biztonsági réteg, a hálózati biztonság kritikus.

Az öntitkosító meghajtókat az UC-alkalmazásokat tároló dedikált példány adatközpontokban használják.

Az általános biztonsági gyakorlatról további információt az alábbi helyen található dokumentációban talál: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Hálózati biztonság

A partnereknek biztosítaniuk kell, hogy az összes hálózati elem a dedikált példány infrastruktúrájában legyen biztosítva (amely az Equinixen keresztül csatlakozik). A partner felelőssége, hogy biztosítsa a biztonsági bevált gyakorlatokat, mint például:

• Külön VLAN a hanghoz és az adatokhoz

• Portbiztonság engedélyezése, amely korlátozza a portonként engedélyezett MAC-címek számát a CAM-táblák elárasztásával szemben

• IP-forrásvédő a hamisított IP-címek ellen

• A Dynamic ARP Inspection (DAI) megvizsgálja a címfeloldási protokollt (ARP) és az ingyenes ARP-t (GARP) a jogsértésekért (az ARP hamisítás ellen)

• 802.1x korlátozza a hálózati hozzáférést a hitelesített eszközökhöz a hozzárendelt VLAN-okon (a telefonok támogatják a 802-es számot.1x)

• A szolgáltatás minőségének (QoS) beállítása a hangcsomagok megfelelő jelöléséhez

• Tűzfalportok konfigurációi bármely más forgalom blokkolására

Végpontok biztonsága

A Cisco végpontok támogatják az alapértelmezett biztonsági szolgáltatásokat, például az aláírt belső vezérlőprogramot, a biztonságos rendszerindítást (kiválasztott modellek), a gyártó által telepített tanúsítványt (MIC) és az aláírt konfigurációs fájlokat, amelyek bizonyos szintű biztonságot nyújtanak a végpontok számára.

Ezenkívül egy partner vagy ügyfél további biztonságot is engedélyezhet, például:

• IP-telefonszolgáltatások titkosítása (HTTPS-en keresztül) olyan szolgáltatásokhoz, mint az Extension Mobility

• Helyileg jelentős tanúsítványok (LSC-k) kibocsátása a hitelesítésszolgáltató proxyfüggvényétől (CAPF) vagy egy nyilvános hitelesítésszolgáltatótól (CA)

• Konfigurációs fájlok titkosítása

• Adathordozó és jelátvitel titkosítása

• Tiltsa le ezeket a beállításokat, ha nem használják őket: PC port, PC Voice VLAN Access, Ingyenes ARP, Web Access, Beállítások gomb, SSH, konzol

A dedikált példány biztonsági mechanizmusainak végrehajtása megakadályozza a telefonok és az egyesített CM-kiszolgáló személyazonosság-lopását, az adatok manipulálását, valamint a hívásjelzést / médiafolyam-illetéktelen beavatkozást.

Dedikált példány a hálózaton keresztül:

• Hitelesített kommunikációs adatfolyamok létrehozása és karbantartása

• Fájlok digitális aláírása a fájl telefonra történő átvitele előtt

• Titkosítja a Cisco Unified IP-telefonok közötti médiafolyamokat és hívásjeleket

Biztonságos UC alkalmazások

Kommunikáció biztosítása a Cisco Unified CM és a CUBE között

A Cisco Unified CM és a CUBE közötti biztonságos kommunikációhoz a partnereknek/ügyfeleknek önaláírt tanúsítványt vagy hitelesítésszolgáltató által aláírt tanúsítványokat kell használniuk.

Önaláírt tanúsítványok esetén:

1. A CUBE és a Cisco Unified CM önaláírt tanúsítványokat hoz létre

2. A CUBE tanúsítvány exportálása a Cisco Unified CM-be

3. A Cisco Unified CM tanúsítványt exportál a CUBE-ba

Hitelesítésszolgáltató által aláírt tanúsítványok esetén:

1. Az ügyfél létrehoz egy kulcspárt, és tanúsítványaláírási kérelmet (CSR) küld a hitelesítésszolgáltatónak (CA)

2. A hitelesítésszolgáltató a személyes kulccsal írja alá, létrehozva egy identitástanúsítványt

3. Az ügyfél telepíti a megbízható hitelesítésszolgáltatói gyökér- és közvetítőtanúsítványok listáját, valamint az identitástanúsítványt

Protokoll összefoglalása

Az alábbi táblázat az Egyesített CM-megoldásban használt protokollokat és kapcsolódó szolgáltatásokat mutatja be.

Az MRA-konfigurációval kapcsolatos további tudnivalókért tanulmányozza a következőket: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

A Jabber és a Webex biztonságossá tétele a SIP OAuth-tal

A Jabber és a Webex ügyfelek hitelesítése OAuth-jogkivonaton keresztül történik egy helyileg jelentős tanúsítvány (LSC) helyett, amely nem igényel hitelesítést a hitelesítésszolgáltató proxyfunkciójának (CAPF) engedélyezéséhez (MRA esetében is). A vegyes móddal vagy anélkül működő SIP OAuth-ot a Cisco Unified CM 12.5(1), Jabber 12.5 és Expressway X12.5 modellek vezették be.

A Cisco Unified CM 12.5-ben van egy új lehetőségünk a Telefonbiztonsági Profilban, amely lehetővé teszi a titkosítást LSC / CAPF nélkül, egyetlen átviteli réteg biztonság (TLS) + OAuth token használatával a SIP REGISTER-ben. Az Expressway-C csomópontok a Felügyeleti XML webszolgáltatás (AXL) API-t használják, hogy tájékoztassák a Cisco Unified CM-t az SN/SAN tanúsítványukról. A Cisco Unified CM ezeket az információkat használja az Exp-C tanúsítvány ellenőrzésére a kölcsönös TLS-kapcsolat létrehozásakor.

A SIP OAuth végponttanúsítvány (LSC) nélkül teszi lehetővé az adathordozó- és jelzőtitkosítást.

A Cisco Jabber Efemeral portokat és biztonságos 6971-es és 6972-es portokat használ HTTPS-kapcsolaton keresztül a TFTP-kiszolgálóhoz a konfigurációs fájlok letöltéséhez. A 6970-es port nem biztonságos port HTTP-n keresztül tölthető le.

További részletek a SIP OAuth konfigurációjáról: SIP OAuth mód.