コメントありがとうございます。

すべてのクラウド登録済みの Webex アプリと Cisco Video デバイスは、発信接続のみを開始します。Cisco の Webex Cloud は、クラウドに登録された Webex アプリと Cisco ビデオ デバイスへのアウトバウンド接続を開始することはありませんが、SIP デバイスにアウトバウンド通話を発信できます。

ミーティングとメッセージング用の Webex サービスは、Cisco が所有する (アイデンティティ サービス、ミーティング サービス、メディア サーバー用の Webex データ センターなど)、または Amazon AWS プラットフォーム上の Cisco Virtual Private Cloud (VPC) でホストされるグローバル分散データ センターでホストされます (Webex メッセージング マイクロ サービス、メッセージング ストレージ サービスなど)。Webex サービスは、Microsoft Teams (VIMT) とのビデオ相互運用のための Microsoft Azure データセンターにも存在します。

トラフィックのタイプ:

Webex アプリと Cisco ビデオ デバイスは、Webex クラウドへのシグナリングとメディア接続を確立します。

シグナリング トラフィック
Webex アプリと Cisco ビデオ デバイスは、HTTP を HTTP over TLS（HTTPS）として使用し、REST ベースのシグナリングを Webex クラウドに TLS 経由でセキュア ウェブ ソケット（WSS）を使用します。シグナリング接続はアウトバウンドのみであり、Webex サービスへのセッション確立に URL を使用します。

Webex サービスへの TLS シグナリング接続は、TLS バージョン 1.2 または 1.3 を使用します。暗号選択は、Webex サーバーの TLS 設定に基づいています。

TLS 1.2 または 1.3 のいずれかを使用して、Webex は暗号スイートを使用することを好みます。

• 重要な交渉のためのECDHE
• RSA ベースの証明書 (3072 ビット キー サイズ)
• SHA2 認証 (SHA384 または SHA256)
• 128ビットまたは256ビットを使用した強力な暗号化暗号（AES_256_GCMなど）

Webex は、TLS バージョン 1.2 接続* の次の優先順位で暗号スイートをサポートします。

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

注 - CBCモードの暗号化は、より安全なGCMモード暗号化を使用しない古いブラウザでサポートされています。
  
Webex は、TLS バージョン 1.3 接続* の設定順序で暗号スイートをサポートしています。

TLS（トレイ）_AESについて_シンクロ_GCMについて_SHA384の特長
TLS（トレイ）_チャチャ_ポリ1305_SHA256（シャイン256）
TLS（トレイ）_AESについて_128 日_GCMについて_SHA256（シャイン256）

注 – TLS 1.3 では、ECDHE キーネゴシエーションと RSA ベースの証明書は仕様書の必須部分であるため、この詳細は暗号スイートの説明で省略されます。
 
*暗号スイートと暗号スイートの優先順位は、一部の Webex サービスで異なる場合があります
 
URL を使用して Webex サービスへのシグナリング接続を確立する
エンタープライズ ネットワークから退出するトラフィックをフィルタリングするためのプロキシまたはファイアウォールが展開されている場合、Webex サービスへのアクセスを許可する必要がある宛先 URL のリストは、セクション「Webex サービスにアクセスする必要があるドメインと URL」。

Webex では、これらのガイドラインhttps://www.w3.org/TR/ct-guidelines/#sec-altering-header-valuesで許可されている場合を除き、HTTP ヘッダーの値がプロキシ/ファイアウォールを通過するため、変更または削除しないことを強くお勧めします。これらのガイドライン外の HTTP ヘッダーの変更または削除は、Webex アプリおよび Cisco ビデオ デバイスによる Webex サービスへのアクセスの喪失を含む、Webex サービスへのアクセスに影響を与える可能性があります。

IP アドレスによる Webex シグナリング トラフィックのフィルタリングは、Webex により使用される IP アドレスが動的で、いつでも変更されてしまう可能性があるため、サポートされていません。

メディア トラフィック
Webex アプリおよび Cisco ビデオ デバイスは、次の暗号化暗号を使用して、音声、ビデオ、およびコンテンツ共有ストリームのリアルタイム メディアを暗号化します。

• AES-256-GCM 暗号化
• AES-CM-128-HMAC-SHA1-80 暗号化

AES-256-GCM は、リアルタイム メディアを暗号化するために、Webex アプリと Cisco ビデオ デバイスによって推奨される暗号化暗号です。    

AES-CM-128-HMAC-SHA1は成熟した暗号で、ベンダー間の相互運用性が実証されています。AES-CM-128-HMAC-SHA1 は通常、SIP シグナリングを使用した SRTP を使用してエンドポイントから Webex サービスにメディアを暗号化するために使用されます (例: Cisco およびサードパーティの SIP デバイス)。

優先順位で、Webex アプリと Cisco ビデオ デバイスは、メディア トランスポート プロトコルとして UDP、TCP、TLS をサポートします。UDP ポートがファイアウォールによってブロックされている場合、Webex アプリと Cisco ビデオ デバイスは TCP にフォールバックします。TCP ポートが Webex アプリをブロックされ、Cisco ビデオ デバイスが TLS にフォールバックする場合。

UDP – Cisco が推奨するメディアトランスポートプロトコル
リアルタイムアプリケーション用のトランスポートプロトコル RFC 3550 RTP に従い、Cisco はすべての Webex 音声およびビデオメディアストリームのトランスポートプロトコルとして UDP を好み、強く推奨します。
 
メディアトランスポートプロトコルとしてTCPを使用するデメリット
WebexアプリとCisco Videoデバイスは、フォールバックメディアトランスポートプロトコルとしてTCPもサポートしています。しかし、Cisco は音声とビデオ メディア ストリームのトランスポート プロトコルとして、TCP を推奨していません。これは、TCP が接続指向であり、データを上位レイヤーのプロトコルに信頼性をもって配信し、正しく順序付けられるように設計されているためです。TCP を使用すると、送信側は損失したパケットを確認応答されるまで再送信し、受信側は損失したパケットが回復するまでパケット ストリームをバッファします。メディア ストリームの場合、この動作は待ち時間/ジッタの増大として現れ、通話の参加者により経験されるメディアの品質に影響します。

メディアトランスポートプロトコルとしてTLSを使用するデメリット
暗号化されたTCP接続（TLS）は、プロキシサーバーのボトルネックの可能性により、メディア品質がさらに低下する可能性があります。TLS が構成されたプロキシ サーバーを持つ Webex アプリおよび Cisco ビデオ デバイスによってメディア トランスポート プロトコルとして使用される場合、このメディア トラフィックはプロキシ サーバーを通じてルーティングされ、帯域幅のボトルネックとその後のパケット損失が発生する可能性があります。  シスコでは、本番環境でのメディアの転送に TLS を使用しないことを強く推奨しています。

Webex メディアは、内部で開始された 5 タプル（送信元 IP アドレス、宛先 IP アドレス、送信元ポート、送信先ポート、プロトコル）のストリームを Webex Cloud に発信する対称のストリームを使用して、双方向にメディアをフローさせます。
 
Webex アプリおよび Cisco ビデオ デバイスは、ファイアウォール トラバーサルおよびメディア ノードの到達可能性テストにも STUN (RFC 5389) を使用します。詳細については、「Webex ファイアウォール テクニカル ペーパー」を参照してください。
 
Webex  – メディアの宛先 IP アドレスの範囲
エンタープライズ ネットワークからメディア トラフィックを処理する Webex メディア サーバーに到達するには、これらのメディア サービスをホストする IP サブネットをエンタープライズ ファイアウォール経由で到達可能にする必要があります。Webex メディア ノードに送信されるメディア トラフィックの宛先 IP アドレス範囲は、セクション「Webex メディア サービスの IP サブネット」で確認できます。