Requisiti di rete per l'istanza dedicata

Sicurezza fisica

È importante fornire sicurezza fisica alle posizioni di Equinix Meet-Me Room e Cisco Istanza dedicata Strutture di centri dati. Quando la sicurezza fisica è compromessa, possono essere avviati semplici attacchi, ad esempio l'interruzione del servizio a causa dell'interruzione dell'alimentazione agli switch di un cliente. Con l'accesso fisico, gli aggressori possono ottenere accesso a dispositivi server, reimpostare le password e ottenere accesso agli switch. L'accesso fisico facilita anche gli attacchi più sofisticati come gli attacchi man-in-the-middle, motivo per cui il secondo livello di sicurezza, la sicurezza di rete, è fondamentale.

Le unità con crittografia automatica vengono utilizzate in Istanza dedicata Centri dati che ospitano applicazioni UC.

Per ulteriori informazioni sulle procedure di sicurezza generali, fare riferimento alla documentazione disponibile nel seguente percorso: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Sicurezza di rete

I partner devono assicurarsi che tutti gli elementi di rete siano protetti Istanza dedicata infrastruttura (che si collega tramite Equinix). È responsabilità del partner garantire procedure consigliate per la sicurezza , ad esempio:

• VLAN separata per voce e dati

• Abilita sicurezza porta che limita il numero di indirizzi MAC consentiti per porta, contro il sovraffollamento della tabella CAM

• Origine IP Protezione da indirizzi IP falsificati

• L'ispezione ARP dinamica (DAI) esamina il protocollo di risoluzione degli indirizzi (ARP) e l'ARP gratuito (GARP) per le violazioni (contro lo spoofing ARP)

• 802.1x limita l'accesso di rete ai dispositivi di autenticazione sulle VLAN assegnate (i telefoni supportano 802.1x )

• Configurazione della qualità del servizio (QoS) per la marcatura appropriata dei pacchetti vocali

• Configurazioni delle porte del firewall per bloccare qualsiasi altro traffico

Sicurezza endpoint

Gli endpoint Cisco supportano funzioni di sicurezza predefinite, ad esempio firmware firmato, avvio protetto (modelli selezionati), certificato installato del produttore (MIC) e file di configurazione firmati, che forniscono un determinato livello di sicurezza per gli endpoint.

Inoltre, un partner o un cliente può abilitare ulteriore sicurezza, ad esempio:

• Crittografa i servizi telefono IP (tramite HTTPS) per servizi come Extension Mobility interni

• Emissione di certificati significativi a livello locale (LSC) dalla funzione proxy autorità di certificazione (CAPF) o un'autorità di certificazione pubblica (CA)

• Crittografa i file di configurazione

• Crittografa i file multimediali e la segnalazione

• Se non vengono utilizzate, disabilitare queste impostazioni: porta del PC, PC Voice VLAN Access, Gratuitous ARP, Web Access, pulsante Impostazioni, SSH, console

Implementazione di meccanismi di sicurezza in Istanza dedicata impedisce il furto di identità dei telefoni e del server Unified CM, la manomissione dei dati e la manomissione dei segnali di chiamata/flusso multimediale.

Istanza dedicata in rete:

• Stabilisce e gestisce flussi di comunicazione autenticati

• Consente di firmare digitalmente i file prima di trasferire il file sul telefono

• Crittografa i flussi multimediali e la segnalazione di chiamata tra telefoni IP Cisco Unified

Applicazioni UC sicure

Sicurezza delle comunicazioni tra Cisco Unified CM e CUBE

Per comunicazioni sicure tra Cisco Unified CM e CUBE, i partner/clienti devono utilizzare un certificato autofirmato CA.

Per i certificati autofirmati:

1. CUBE e Cisco Unified CM generano certificati autofirmati

2. CUBE esporta il certificato in Cisco Unified CM

3. Cisco Unified CM esporta il certificato in CUBE

Per i certificati firmati CA:

1. Il client genera una coppia di chiavi e invia una Richiesta di firma del certificato (CSR) autorità di certificazione (CA)

2. L'Autorità di certificazione lo firma con la sua chiave privata, creando un certificato di identità

3. Il client installa l'elenco di certificati CA radice e intermediari attendibili e il certificato di identità

Riepilogo protocollo

La tabella seguente mostra i protocolli e i servizi associati utilizzati nella soluzione Unified CM .

Per ulteriori informazioni sulla configurazione MRA, vedere: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Protezione di Jabber e Webex con SIP OAuth

I client Jabber e Webex vengono autenticati tramite un token OAuth anziché un certificato importante in locale (LSC), che non richiede l' funzione proxy autorità di certificazione CAPF(anche per MRA) dell'autorità di certificazione. SIP OAuth che funziona con o senza la modalità mista è stato introdotto in Cisco Unified CM 12.5(1), Jabber 12.5 ed Expressway X12.5.

In Cisco Unified CM 12.5, è disponibile una nuova opzione nel profilo di sicurezza del telefono che consente la crittografia senza LSC/ CAPF , utilizzando un singolo token TLS ( Transport Layer Security ) + OAuth nel REGISTER SIP . I nodi Expressway-C utilizzano l' API del servizio Web XML amministrativo ( AXL ) per informare Cisco Unified CM della presenza di SN/SAN nel certificato. Cisco Unified CM utilizza queste informazioni per convalidare il certificato Exp-C quando stabilisce una connessione TLS reciproca.

SIP OAuth abilita la crittografia dei supporti e dei segnali senza un certificato endpoint (LSC).

Cisco Jabber utilizza le porte temporanee e le porte di sicurezza 6971 e 6972 tramite connessione HTTPS al server TFTP per scaricare i file di configurazione. La porta 6970 è una porta non protetta per il download tramite HTTP.

Ulteriori dettagli sulla configurazione di SIP OAuth: Modalità SIP OAuth .