コメントありがとうございます。

すべてのクラウド登録された Webex アプリと Cisco ビデオ デバイスは、発信接続のみを開始します。Cisco の Webex Cloud は、クラウド登録された Webex アプリと Cisco ビデオ デバイスへの発信接続を開始しませんが、SIP デバイスに発信通話を行うことができます。

ミーティングとメッセージング用の Webex サービスは、Cisco が所有する (例: ID サービス、ミーティング サービス、メディア サーバー用の Webex データセンター)、または Amazon AWS プラットフォーム上の Cisco Virtual Private Cloud (VPC) でホストされるグローバルに分散されたデータセンターでホストされます (例: Webex メッセージング マイクロサービス、メッセージ ストレージ サービス)。Webex サービスは、Microsoft Teams (VIMT) とのビデオ相互運用のための Microsoft Azure データセンターにも存在します。

トラフィックのタイプ:

Webex アプリと Cisco ビデオ デバイスは、Webex クラウドへのシグナリングとメディア接続を確立します。

シグナリング トラフィック
Webex アプリと Cisco ビデオ デバイスは、Webex クラウドへの REST ベースのシグナリングのために、HTTP over TLS (HTTPS) および TLS over Secure Web Sockets (WSS) を使用します。シグナリング接続はアウトバウンドのみであり、Webex サービスへのセッション確立に URL を使用します。

Webex サービスへの TLS シグナリング接続は、TLS バージョン 1.2 または 1.3 を使用します。暗号の選択は、Webex サーバーの TLS 基本設定に基づいています。

TLS 1.2 または 1.3 のいずれかを使用して、Webex は以下を使用して暗号スイートを好みます。

• キーネゴシエーションのための ECDHE
• RSA ベースの証明書（3072 ビット キー サイズ）
• SHA2 認証（SHA384 または SHA256）
• 128 ビットまたは 256 ビットを使用する強力な暗号化暗号（AES_256_GCM など）

Webex は、TLS バージョン 1.2 接続* の次の基本設定順序で暗号スイートをサポートします。

TLS_ECDHE_RSAシリーズ_で_エース_256_GCM_sha384
TLS_ECDHE_RSAシリーズ_で_エース_128_GCM_sha256
TLS_ECDHE_RSAシリーズ_で_チャチャ20_ポリ1305_sha256
TLS_ECDHE_RSAシリーズ_で_エース_256_CBC (ヨーロッパ)_sha384
TLS_ECDHE_RSAシリーズ_で_エース_128_CBC (ヨーロッパ)_sha256

注意 - CBC モード暗号化は、より安全な GCM モード暗号化なしで古いブラウザでサポートされています。
  
Webex は、TLS バージョン 1.3 接続* の次の基本設定順序で暗号スイートをサポートしています。

TLS_AES_256_GCM_SHA384
TLS_CHACHA_POLY1305_SHA256
TLS_AES_128_GCM_SHA256

注意 - TLS 1.3 では、ECDHE キーネゴシエーションと RSA ベースの証明書は仕様の一部であるため、この詳細は暗号スイートの説明では省略されます。
 
*暗号スイートと暗号スイート設定の順序は一部の WeBEX サービスで異なる場合があります
 
URL を使用して Webex サービスへのシグナリング接続を確立する
プロキシを展開している場合、Webex サービスにアクセスするために許可する必要がある宛先 URL のリストは、「Webex サービスにアクセスする必要があるドメインと URL」のセクションにあります。

Webex は、これらのガイドラインhttps://www.w3.org/TR/ct-guidelines/#sec-altering-header-valuesで許可されていない限り、プロキシ/ファイアウォールを通過するため、HTTP ヘッダー値を変更したり削除したりしないことを強くお勧めします。これらのガイドライン以外の HTTP ヘッダーを変更または削除すると、Webex アプリおよび Cisco ビデオ デバイスによる Webex サービスへのアクセスの損失など、Webex サービスへのアクセスに影響する場合があります。

IP アドレスによる Webex シグナリング トラフィックのフィルタリングは、Webex により使用される IP アドレスが動的で、いつでも変更されてしまう可能性があるため、サポートされていません。

メディア トラフィック
Webex アプリと Cisco ビデオ デバイスは、次の暗号化暗号を使用して、音声、ビデオ、およびコンテンツ共有ストリームのリアルタイム メディアを暗号化します。

• AES-256-GCM 暗号化
• AES-CM-128-HMAC-SHA1-80 暗号化

AES-256-GCM は、リアルタイム メディアを暗号化するために、Webex アプリと Cisco ビデオ デバイスによって推奨される暗号化方式です。    

AES-CM-128-HMAC-SHA1 は、ベンダー間の相互運用性が実証された成熟した暗号です。AES-CM-128-HMAC-SHA1 は、通常、SIP シグナリング (シスコおよびサードパーティの SIP デバイスなど) を持つ SRTP を使用して、エンドポイントから Webex サービスにメディアを暗号化するために使用されます。

優先順位では、Webex アプリと Cisco ビデオ デバイスは、メディア トランスポート プロトコルとして UDP、TCP、TLS をサポートします。UDP ポートがファイアウォールによってブロックされている場合、Webex アプリと Cisco ビデオ デバイスは TCP にフォールバックします。TCP ポートがブロックされている場合、Webex アプリと Cisco ビデオ デバイスは TLS にフォールバックします。

UDP – Cisco が推奨するメディア トランスポート プロトコル
RFC 3550 RTP – リアルタイム アプリケーションのトランスポート プロトコルに沿って、Cisco はすべての Webex 音声およびビデオ メディア ストリームのトランスポート プロトコルとして UDP を優先し、強く推奨します。
 
TCP をメディア トランスポート プロトコルとして使用することの欠点
Webex アプリと Cisco ビデオ デバイスは、フォールバック メディア トランスポート プロトコルとして TCP もサポートしています。しかし、Cisco は音声とビデオ メディア ストリームのトランスポート プロトコルとして、TCP を推奨していません。これは、TCP が接続指向であり、データを上位レイヤーのプロトコルに信頼性をもって配信し、正しく順序付けられるように設計されているためです。TCP を使用すると、送信側は損失したパケットを確認応答されるまで再送信し、受信側は損失したパケットが回復するまでパケット ストリームをバッファします。メディア ストリームの場合、この動作は待ち時間/ジッタの増大として現れ、通話の参加者により経験されるメディアの品質に影響します。

TLS をメディアトランスポートプロトコルとして使用することの欠点
暗号化された TCP 接続 (TLS) は、潜在的なプロキシサーバーのボトルネックのため、メディア品質がさらに低下する可能性があります。プロキシ サーバーが設定されている Webex アプリおよび Cisco ビデオ デバイスによって TLS がメディア トランスポート プロトコルとして使用されている場合、このメディア トラフィックはプロキシ サーバーを通じてルーティングされ、帯域幅のボトルネックおよびそれ以降のパケット損失が生成されます。  本番環境でのメディア転送には TLS を使用しないことを強くお勧めします。

Webex メディアは、内部で開始された 5 タプル（送信元 IP アドレス、宛先 IP アドレス、送信元ポート、送信先ポート、プロトコル）のストリームを Webex Cloud に発信する対称のストリームを使用して、双方向にメディアをフローさせます。
 
Webex アプリと Cisco ビデオ デバイスでは、ファイアウォール トラバーサルとメディア ノードの到達可能性テストにも STUN (RFC 5389) を使用します。詳細については、「Webex ファイアウォール テクニカル ペーパー」を参照してください。
 
Webex  – メディアの宛先 IP アドレス範囲
エンタープライズ ネットワークからメディア トラフィックを処理する Webex メディア サーバーに到達するには、これらのメディア サービスをホストする IP サブネットをエンタープライズ ファイアウォール経由で到達できるようにする必要があります。Webex メディア ノードに送信されるメディア トラフィックの宛先 IP アドレス範囲は、セクション「Webex メディア サービスの IP サブネット」で確認できます。