전용 인스턴스의 네트워크 요구 사항

Webex Calling 전용 인스턴스는 Cisco Unified Communications Manager(Cisco Unified CM) 협업 기술을 기반으로 하는 Cisco Cloud Calling 포트폴리오의 일부입니다. 전용 인스턴스는 전용 인스턴스에 안전하게 연결되는 Cisco IP 폰, 모바일 장치, 데스크탑 클라이언트의 기능과 이점을 갖춘 음성, 비디오, 메시징 및 이동성 솔루션을 제공합니다.

이 문서는 조직 내에서 전용 인스턴스를 사용하고자 하는 네트워크 관리자, 특히 방화벽 및 프록시 보안 관리자를 위해 작성되었습니다. 이 문서는 물리적 보안 액세스, 보안 네트워크, 보안 엔드포인트, 보안 Cisco UC 응용프로그램을 제공하는 특징과 기능에 대한 계층적 접근을 포함하여 전용 인스턴스 솔루션의 네트워크 요구 사항 및 보안에 주로 중점을 둡니다.

보안 개요: 계층의 보안

전용 인스턴스는 보안을 위해 계층적 접근을 사용합니다. 계층에는 다음이 포함됩니다.

  • 물리적 액세스

  • 네트워크

  • 엔드포인트

  • UC 응용프로그램

다음 섹션에서는 전용 인스턴스 배포의 보안 계층에 대해 설명합니다.

물리적 보안

Equinix Meet-Me Room 위치와 Cisco 전용 인스턴스 데이터 센터 시설에 물리적 보안을 제공하는 것이 중요합니다. 물리적 보안이 침해되면 고객 스위치의 전원을 차단하여 서비스 중단 같은 단순한 공격이 시작될 수 있습니다. 물리적 액세스를 통해 공격자는 서버 장치에 액세스하고 비밀번호를 재설정하고 스위치에 액세스할 수 있습니다. 또한 물리적 액세스는 메시지 가로채기(Man-in-the-middle) 공격 같은 보다 교묘한 공격을 용이하게 하므로, 두 번째 보안 계층인 네트워크 보안이 중요합니다.

자체 암호화 드라이브는 UC 응용프로그램을 호스팅하는 전용 인스턴스 데이터 센터에서 사용됩니다.

일반 보안 방식에 대한 자세한 내용은 다음 위치에 있는 설명서를 참조하십시오. https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

네트워크 보안

파트너는 모든 네트워크 요소가 전용 인스턴스 인프라(Equinix를 통해 연결됨)에서 보호되는지 확인해야 합니다. 다음과 같은 보안 모범 사례를 보장하는 것은 파트너의 책임입니다.

  • 음성 및 데이터를 위한 별도의 VLAN

  • CAM 테이블 플러딩에 대해 포트당 허용되는 MAC 주소 수를 제한하는 포트 보안 활성화

  • 스푸핑된 IP 주소에 대한 IP 소스 가드

  • DAI(Dynamic ARP Inspection)는 ARP(Address Resolution Protocol) 및 GARP(Gratuitous ARP)에서 위반 사항(ARP 스푸핑에 대해)을 검사합니다.

  • 802.1x 지정된 VLA에서 장치 인증을 위해 네트워크 액세스를 제한합니다(전화는 802를 지원하지 않습니다.1x)

  • 음성 패킷의 적절한 표시를 위한 QoS(서비스 품질) 구성

  • 다른 트래픽을 차단하기 위한 방화벽 포트 구성

엔드포인트 보안

Cisco 엔드포인트는 엔드포인트에 특정 수준의 보안을 제공하는 서명된 펌웨어, 보안 부팅(일부 모델), MIC(제조업체 설치 인증서), 서명된 구성 파일 같은 기본 보안 기능을 지원합니다.

또한 파트너 또는 고객은 다음과 같은 추가 보안을 활성화할 수 있습니다.

  • Extension Mobility 같은 서비스를 위해 (HTTPS를 통해) IP 폰 서비스 암호화

  • CAPF(인증 기관 프록시 기능) 또는 공용 CA(인증 기관)에서 LSC(로컬로 중요한 인증서) 발급

  • 구성 파일 암호화

  • 미디어 및 신호 암호화

  • 사용하지 않는 경우 다음 설정을 비활성화합니다. PC 포트, PC 음성 VLAN 액세스, Gratuitous ARP, 웹 액세스, 설정 버튼, SSH, 콘솔

전용 인스턴스에서 보안 메커니즘을 구현하면 전화기 및 Unified CM 서버의 ID 도용, 데이터 변조, 통화 신호/미디어 스트림 변조를 방지할 수 있습니다.

네트워크를 통한 전용 인스턴스:

  • 인증된 통신 스트림을 설정하고 유지

  • 파일을 전화로 전송하기 전에 파일에 디지털 방식으로 서명

  • Cisco Unified IP 폰 간의 미디어 스트림 및 통화 신호를 암호화

기본 보안 설정

기본적으로 보안은 Cisco Unified IP 폰에 대해 다음과 같은 자동 보안 기능을 제공합니다.

  • 전화 구성 파일 서명

  • 전화 구성 파일 암호화 지원

  • Tomcat 및 기타 웹 서비스(MIDlet)가 있는 HTTPS

Unified CM Release 8.0 이상의 경우 이러한 보안 기능은 CTL(인증서 신뢰 목록) 클라이언트를 실행하지 않고 기본적으로 제공됩니다.

신뢰 검증 서비스

네트워크에 많은 수의 전화가 있고 IP 폰의 메모리가 제한되어 있으므로 Cisco Unified CM은 각 전화에 인증서 신뢰 저장소를 배치할 필요가 없도록 TVS(Trust Verification Service)를 통해 원격 신뢰 저장소 역할을 합니다. Cisco IP 폰은 CTL 또는 ITL 파일을 통해 서명 또는 인증서를 확인할 수 없기 때문에 확인을 위해 TVS 서버에 연결합니다. 각 Cisco Unified IP 폰에 신뢰 저장소를 두는 것보다 중앙 신뢰 저장소를 만드는 것이 관리하기 쉽습니다.

TVS를 사용하면 Cisco Unified IP 폰에서 HTTPS 설정 중에 EM 서비스, 디렉터리, MIDlet 같은 응용프로그램 서버를 인증할 수 있습니다.

초기 신뢰 목록

엔드포인트가 Cisco Unified CM을 신뢰할 수 있도록 초기 보안에 ITL(초기 신뢰 목록) 파일이 사용됩니다. ITL은 명시적으로 활성화해야 하는 보안 기능이 필요하지 않습니다. ITL 파일은 클러스터가 설치될 때 자동으로 생성됩니다. Unified CM TFTP(Trivial File Transfer Protocol) 서버의 개인 키는 ITL 파일에 서명하는 데 사용됩니다.

Cisco Unified CM 클러스터 또는 서버가 비보안 모드인 경우, 지원되는 모든 Cisco IP 폰에 ITL 파일이 다운로드됩니다. 파트너는 CLI 명령인 admin:show itl을 사용하여 ITL 파일의 내용을 볼 수 있습니다.

Cisco IP 폰은 다음 작업을 수행하기 위해 ITL 파일이 필요합니다.

  • 구성 파일 암호화 지원의 전제 조건인 CAPF와 안전하게 통신

  • 구성 파일 서명 인증

  • TVS를 사용한 HTTPS 설정 중에 EM 서비스, 디렉터리, MIDlet 등의 응용프로그램 서버 인증

Cisco CTL

장치, 파일 및 신호 인증은 파트너 또는 고객이 Cisco Certificate Trust List Client를 설치 및 구성할 때 생성되는 CTL(Certificate Trust List) 파일 만들기에 의존합니다.

CTL 파일에는 다음 서버 또는 보안 토큰에 대한 항목이 포함되어 있습니다.

  • SAST(시스템 관리자 보안 토큰)

  • 동일한 서버에서 실행되는 Cisco CallManager 및 Cisco TFTP 서비스

  • CAPF(인증 기관 프록시 기능)

  • TFTP 서버

  • ASA 방화벽

CTL 파일에는 서버 인증서, 공개 키, 일련 번호, 서명, 발급자 이름, 주체 이름, 서버 기능, DNS 이름 및 각 서버의 IP 주소가 포함됩니다.

CTL을 통한 전화 보안은 다음 기능을 제공합니다.

  • 서명 키를 사용하여 TFTP 다운로드 파일(구성, 로캘, 링리스트 등) 인증

  • 서명 키를 사용한 TFTP 구성 파일 암호화

  • IP 폰을 위한 암호화된 통화 신호

  • IP 폰을 위한 암호화된 통화 오디오(미디어)

전용 인스턴스의 Cisco IP 폰 보안

전용 인스턴스는 엔드포인트 등록 및 호출 처리를 제공합니다. Cisco Unified CM과 엔드포인트 간의 신호는 SCCP(Secure Skinny Client Control Protocol) 또는 SIP(Session Initiation Protocol)를 기반으로 하며 TLS(Transport Layer Security)를 사용하여 암호화할 수 있습니다. 엔드포인트에서 송수신되는 미디어는 RTP(Real-time Transport Protocol)를 기반으로 하며 SRTP(Secure RTP)를 사용하여 암호화할 수도 있습니다.

Unified CM에서 혼합 모드를 활성화하면 Cisco 엔드포인트에서 송수신되는 신호 및 미디어 트래픽을 암호화할 수 있습니다.

보안 UC 응용프로그램

전용 인스턴스에서 혼합 모드 활성화

전용 인스턴스에서는 기본적으로 혼합 모드가 활성화되어 있지 않습니다.

전용 인스턴스에서 혼합 모드를 활성화하면 Cisco 엔드포인트에서 송수신되는 신호 및 미디어 트래픽의 암호화를 수행할 수 있습니다.

Cisco Unified CM 릴리즈 12.5(1)에서는 Jabber 및 Webex 클라이언트에 대해 혼합 모드/CTL 대신 SIP OAuth 기반 신호 및 미디어 암호화를 활성화하는 새로운 옵션이 추가되었습니다. 따라서 Unified CM 릴리즈 12.5(1)에서 SIP OAuth 및 SRTP를 사용하여 Jabber 또는 Webex 클라이언트의 신호 및 미디어에 대한 암호화를 활성화할 수 있습니다. 현재 Cisco IP 폰 및 기타 Cisco 엔드포인트에 대해 혼합 모드를 계속 활성화해야 합니다. 향후 릴리즈에서 7800/8800 엔드포인트에서 SIP OAuth에 대한 지원을 추가할 계획이 있습니다.

음성 메시징 보안

Cisco Unity Connection은 TLS 포트를 통해 Unified CM에 연결합니다. 장치 보안 모드가 비보안인 경우 Cisco Unity Connection은 SCCP 포트를 통해 Unified CM에 연결합니다.

SCCP를 실행하는 Cisco Unity 장치 또는 SCCP를 실행하는 Cisco Unity Connection 장치와 Unified CM 음성 메시징 포트에 대한 보안을 구성하기 위해 파트너는 포트에 대한 보안 장치 보안 모드를 선택할 수 있습니다. 인증된 보이스메일 포트를 선택하면 상호 인증서 교환을 사용하여 장치를 인증하는 TLS 연결이 열립니다(각 장치는 다른 장치의 인증서를 수락함). 암호화된 보이스메일 포트를 선택하면 시스템이 먼저 장치를 인증한 후 장치 간에 암호화된 음성 스트림을 보냅니다.

Security Voice 메시징 포트에 대한 자세한 내용은 다음을 참조하십시오. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

SRST, 트렁크, 게이트웨이, CUBE/SBC에 대한 보안

Cisco Unified SRST(Survivable Remote Site Telephony) 지원 게이트웨이는 전용 인스턴스의 Cisco Unified CM이 통화를 완료할 수 없는 경우 제한된 통화 처리 작업을 제공합니다.

보안 SRST 지원 게이트웨이에는 자체 서명된 인증서가 포함되어 있습니다. 파트너가 Unified CM 관리에서 SRST 구성 작업을 수행한 후 Unified CM은 TLS 연결을 사용하여 SRST 지원 게이트웨이의 인증서 공급자 서비스를 인증합니다. 그런 다음 Unified CM은 SRST 지원 게이트웨이에서 인증서를 검색하고 인증서를 Unified CM 데이터베이스에 추가합니다.

파트너가 Unified CM 관리에서 종속 장치를 재설정한 후 TFTP 서버는 SRST 지원 게이트웨이 인증서를 전화 cnf.xml 파일에 추가하고 파일을 전화로 보냅니다. 그런 다음 보안 전화는 TLS 연결을 사용하여 SRST 지원 게이트웨이와 상호 작용합니다.

Cisco Unified CM에서 아웃바운드 PSTN 통화 또는 Cisco CUBE(Unified Border Element)를 통과하는 게이트웨이로 가는 통화의 경우 보안 트렁크를 사용하는 것이 좋습니다.

SIP 트렁크는 신호 및 미디어 모두에 대해 보안 통화를 지원할 수 있습니다. TLS는 신호 암호화를 제공하고 SRTP는 미디어 암호화를 제공합니다.

Cisco Unified CM과 CUBE 간의 통신 보안

Cisco Unified CM과 CUBE 간의 보안 통신을 위해 파트너/고객은 자체 서명된 인증서 또는 CA 서명 인증서를 사용해야 합니다.

자체 서명된 인증서의 경우:

  1. CUBE 및 Cisco Unified CM은 자체 서명된 인증서를 생성합니다.

  2. CUBE는 인증서를 Cisco Unified CM으로 내보냅니다.

  3. Cisco Unified CM은 인증서를 CUBE로 내보냅니다.

CA 서명 인증서의 경우:

  1. 클라이언트는 키 쌍을 생성하고 CSR(인증서 서명 요청)을 CA(인증 기관)에 보냅니다.

  2. CA는 개인 키로 서명하여 ID 인증서를 생성합니다.

  3. 클라이언트는 신뢰할 수 있는 CA 루트 및 중개 인증서 목록과 ID 인증서를 설치합니다.

원격 엔드포인트에 대한 보안

MRA(모바일 및 원격 액세스) 엔드포인트를 사용하면 MRA 엔드포인트와 Expressway 노드 간에 신호 및 미디어가 항상 암호화됩니다. ICE(Interactive Connectivity Establishment) 프로토콜이 MRA 엔드포인트에 사용되는 경우 MRA 엔드포인트의 신호 및 미디어 암호화가 필요합니다. 그러나 Expressway-C와 내부 Unified CM 서버, 내부 엔드포인트 또는 기타 내부 장치 간의 신호 및 미디어 암호화에는 혼합 모드 또는 SIP OAuth가 필요합니다.

Cisco Expressway는 보안 방화벽 통과 및 Unified CM 등록을 위한 회선 측 지원을 제공합니다. Unified CM은 모바일 및 온-프레미스 엔드포인트 모두에 대한 통화 제어를 제공합니다. 신호는 원격 엔드포인트와 Unified CM 간에 Expressway 솔루션을 통과합니다. 미디어는 Expressway 솔루션을 통과하고 엔드포인트 간에 직접 릴레이됩니다. 모든 미디어는 Expressway-C와 모바일 엔드포인트 간에 암호화됩니다.

모든 MRA 솔루션에는 MRA 호환 소프트 클라이언트 및/또는 고정 엔드포인트가 있는 Expressway 및 Unified CM이 필요합니다. 솔루션은 선택적으로 IM and Presence 서비스와 Unity Connection을 포함할 수 있습니다.

프로토콜 요약

다음 표에는 Unified CM 솔루션에서 사용되는 프로토콜 및 관련 서비스가 나와 있습니다.

표 1. 프로토콜 및 관련 서비스

프로토콜

보안

서비스

SIP

TLS

세션 설정: 등록, 초대 등

HTTPS

TLS

로그온, 프로비저닝/구성, 디렉터리, 비주얼 보이스메일

미디어

SRTP

미디어: 오디오, 비디오, 콘텐츠 공유

XMPP

TLS

인스턴트 메시징, Presence, 페더레이션

MRA 구성에 대한 자세한 내용은 다음을 참조하십시오. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

구성 옵션

전용 인스턴스는 2일 차 구성을 완전히 제어하여 최종 사용자를 위한 서비스를 사용자 정의할 수 있는 유연성을 파트너에게 제공합니다. 결과적으로 파트너는 최종 사용자의 환경에 대한 전용 인스턴스 서비스의 적절한 구성에 대한 전적인 책임이 있습니다. 여기에는 다음이 포함되지만 이에 국한되지는 않습니다.

  • 보안/비보안 통화, SIP/sSIP, http/https 등의 보안/비보안 프로토콜을 선택하고 관련 위험을 이해합니다.

  • 전용 인스턴스에서 secure-SIP로 구성되지 않은 모든 MAC 주소에 대해 공격자는 해당 MAC 주소를 사용하여 SIP Register 메시지를 보내고 SIP 호출을 할 수 있어 요금 사기가 발생할 수 있습니다. 전제 조건은 공격자가 전용 인스턴스에 등록된 장치의 MAC 주소를 알고 있는 경우 승인 없이 자신의 SIP 장치/소프트웨어를 전용 인스턴스에 등록할 수 있다는 것입니다.

  • Expressway-E 통화 정책, 변환 및 검색 규칙은 요금 사기를 방지하도록 구성되어야 합니다. Expressway를 사용한 요금 사기 방지에 대한 자세한 내용은 Collaboration SRND의 Expressway C 및 Expressway-E 보안 섹션을 참조하십시오.

  • 사용자가 허용된 대상에만 전화를 걸 수 있도록 하는 다이얼 플랜 구성(예: 국내/국제 전화 걸기 금지, 긴급 전화가 제대로 라우팅됨 등). 다이얼 플랜을 사용하여 제한을 적용하는 방법에 대한 자세한 내용은 Collaboration SRND의 다이얼 플랜 섹션을 참조하십시오.

전용 인스턴스의 보안 연결을 위한 인증서 요구 사항

전용 인스턴스의 경우, Cisco는 도메인을 제공하고 공용 CA(인증 기관)를 사용하여 UC 응용프로그램에 대한 모든 인증서에 서명합니다.

전용 인스턴스 – 포트 번호 및 프로토콜

다음 표에서는 전용 인스턴스에서 지원되는 포트와 프로토콜에 대해 설명합니다. 특정 고객에게 사용되는 포트는 고객의 배포 및 솔루션에 따라 달라집니다. 프로토콜은 고객의 기본 설정(SCCP 대 SIP), 기존 온-프레미스 장치, 각 배포에서 사용할 포트를 결정하기 위한 보안 수준에 따라 달라집니다.

전용 인스턴스 – 고객 포트

고객 구내와 전용 인스턴스 간에 고객이 사용할 수 있는 포트는 표 1 전용 인스턴스 고객 포트에 나와 있습니다. 아래에 나열된 모든 포트는 피어링 링크를 통과하는 고객 트래픽용입니다.


SNMP 포트는 CER 기능에 대해서만 지원되며 모든 타사 모니터링 도구에는 지원되지 않습니다.

표 2. 전용 인스턴스 고객 포트

프로토콜

TCP/UCP

소스

대상

소스 포트

대상 포트

목적

SSH

TCP

클라이언트

UC 응용프로그램

1023보다 큼

22

관리

LDAP

TCP

UC 응용프로그램

외부 디렉터리

1023보다 큼

389

고객 LDAP에 대한 디렉터리 동기화

HTTPS

TCP

브라우저

UC 응용프로그램

1023보다 큼

443

셀프서비스 및 관리 인터페이스를 위한 웹 액세스

LDAP(SECURE)

TCP

UC 응용프로그램

외부 디렉터리

1023보다 큼

636

고객 LDAP에 대한 디렉터리 동기화

SCCP

TCP

엔드포인트

Unified CM, CUCxn

1023보다 큼

2000

통화 신호

SCCP

TCP

Unified CM

Unified CM, Gateway

1023보다 큼

2000

통화 신호

SCCP(SECURE)

TCP

엔드포인트

Unified CM, CUCxn

1023보다 큼

2443

통화 신호

SCCP(SECURE)

TCP

Unified CM

Unified CM, Gateway

1023보다 큼

2443

통화 신호

신뢰 검증

TCP

엔드포인트

Unified CM

1023보다 큼

2445

엔드포인트에 대한 신뢰 검증 서비스 제공

CTI

TCP

엔드포인트

Unified CM

1023보다 큼

2748

CTI 응용프로그램(JTAPI/TSP)과 CTIManager 간의 연결

Secure CTI

TCP

엔드포인트

Unified CM

1023보다 큼

2749

CTI 응용프로그램(JTAPI/TSP)과 CTIManager 간의 보안 연결

LDAP 글로벌 카탈로그

TCP

UC 응용프로그램

외부 디렉터리

1023보다 큼

3268

고객 LDAP에 대한 디렉터리 동기화

LDAP 글로벌 카탈로그

TCP

UC 응용프로그램

외부 디렉터리

1023보다 큼

3269

고객 LDAP에 대한 디렉터리 동기화

CAPF 서비스

TCP

엔드포인트

Unified CM

1023보다 큼

3804

IP Phone에 LSC(Locally Significant Certificate)를 발급하기 위한 CAPF(Certificate Authority Proxy Function) 수신 포트

SIP

TCP

엔드포인트

Unified CM, CUCxn

1023보다 큼

5060

통화 신호

SIP

TCP

Unified CM

Unified CM, Gateway

1023보다 큼

5060

통화 신호

SIP(SECURE)

TCP

엔드포인트

Unified CM

1023보다 큼

5061

통화 신호

SIP(SECURE)

TCP

Unified CM

Unified CM, Gateway

1023보다 큼

5061

통화 신호

SIP(OAUTH)

TCP

엔드포인트

Unified CM

1023보다 큼

5090

통화 신호

XMPP

TCP

Jabber Client

Cisco IM&P

1023보다 큼

5222

인스턴트 메시징 및 프레즌스

HTTP

TCP

엔드포인트

Unified CM

1023보다 큼

6970

엔드포인트에 대한 구성 및 이미지 다운로드

HTTPS

TCP

엔드포인트

Unified CM

1023보다 큼

6971

엔드포인트에 대한 구성 및 이미지 다운로드

HTTPS

TCP

엔드포인트

Unified CM

1023보다 큼

6972

엔드포인트에 대한 구성 및 이미지 다운로드

HTTP

TCP

Jabber Client

CUCxn

1023보다 큼

7080

보이스메일 알림

HTTPS

TCP

Jabber Client

CUCxn

1023보다 큼

7443

보이스메일 알림 보안

HTTPS

TCP

Unified CM

Unified CM

1023보다 큼

7501

인증서 기반 인증을 위해 ILS(Intercluster Lookup Service)에서 사용

HTTPS

TCP

Unified CM

Unified CM

1023보다 큼

7502

비밀번호 기반 인증을 위해 ILS에서 사용

IMAP

TCP

Jabber Client

CUCxn

1023보다 큼

7993

IMAP over TLS

HTTPS

TCP

브라우저, 엔드포인트

UC 응용프로그램

1023보다 큼

8443

셀프서비스 및 관리 인터페이스를 위한 웹 액세스, UDS

HTTPS

TCP

온-프레미스

Unified CM

1023보다 큼

9443

인증된 연락처 검색

Secure RTP/SRTP

UDP

Unified CM

전화

16384~32767 *

16384~32767 *

미디어(오디오) - MOH(Music on Hold), Annunciator, Software Conference Bridge(통화 신호에 따라 열기)

Secure RTP/SRTP

UDP

전화

Unified CM

16384~32767 *

16384~32767 *

미디어(오디오) - MOH(Music on Hold), Annunciator, Software Conference Bridge(통화 신호에 따라 열기)

ICMP

ICMP

엔드포인트

UC 응용프로그램

해당사항 없음

해당사항 없음

ICMP

ICMP

UC 응용프로그램

엔드포인트

해당사항 없음

해당사항 없음

* 특정한 특수 경우에는 더 큰 범위를 사용할 수 있습니다.

전용 인스턴스 – OTT 포트

다음 포트 목록은 고객 및 파트너가 MRA(Mobile and Remote Access) 설정에 사용할 수 있습니다.

표 3. OTT용 포트 목록

프로토콜

TCP/UCP

소스

대상

소스 포트

대상 포트

목적

SECURE SIP

TCP

엔드포인트

Expressway E

1023보다 큼

5061

MRA 등록 및 통화에 대한 Secure SIP 신호

SECURE SIP

TCP

엔드포인트/서버

Expressway E

1023보다 큼

5062

B2B 통화를 위한 Secure SIP

SECURE RTP/RTCP

UDP

엔드포인트/서버

Expressway E

1023보다 큼

36000-59999

MRA 및 B2B 통화용 보안 미디어

HTTPS(SECURE)

TLS

클라이언트

Expressway E

1023보다 큼

8443

MRA 통화용 CUCM UDS 및 CUCxn REST

XMLS

TLS

클라이언트

Expressway E

1023보다 큼

5222

IM and Presence

돌아가기

UDP

ICE Client

Expressway E

1023보다 큼

3478

ICE/STUN/TURN 협상

SECURE RTP/RTCP

UPD

ICE Client

Expressway E

1023보다 큼

24000-29999

ICE 폴백을 위한 TURN 미디어

전용 인스턴스 – UCCX 포트

다음 포트 목록은 고객 및 파트너가 UCCX를 구성하는 데 사용할 수 있습니다.

표 4. Cisco UCCX 포트

프로토콜

TCP / UCP

소스

대상

소스 포트

대상 포트

목적

SSH

TCP

클라이언트

UCCX

1023보다 큼

22

SFTP 및 SSH

Informix

TCP

클라이언트 또는 서버

UCCX

1023보다 큼

1504

Unified CCX 데이터베이스 포트

SIP

UDP 및 TCP

SIP GW 또는 MCRP 서버

UCCX

1023보다 큼

5065

원격 GW 및 MCRP 노드에 대한 통신

XMPP

TCP

클라이언트

UCCX

1023보다 큼

5223

Finesse 서버와 사용자 정의 타사 응용프로그램 간의 Secure XMPP 연결

CVD

TCP

클라이언트

UCCX

1023보다 큼

6999

CCX 응용프로그램 편집기

HTTPS

TCP

클라이언트

UCCX

1023보다 큼

7443

HTTPS를 통한 통신을 위해 Finesse 서버와 에이전트 및 수퍼바이저 데스크탑 간의 Secure BOSH 연결

HTTP

TCP

클라이언트

UCCX

1023보다 큼

8080

라이브 데이터 보고 클라이언트가 socket.IO 서버에 연결

HTTP

TCP

클라이언트

UCCX

1023보다 큼

8081

Cisco Unified Intelligence Center 웹 인터페이스에 액세스하려는 클라이언트 브라우저

HTTP

TCP

클라이언트

UCCX

1023보다 큼

8443

SOAP를 통한 Admin GUI, RTMT, DB 액세스

HTTPS

TCP

클라이언트

UCCX

1023보다 큼

8444

Cisco Unified Intelligence Center 웹 인터페이스

HTTPS

TCP

브라우저 및 REST 클라이언트

UCCX

1023보다 큼

8445

Finesse용 보안 포트

HTTPS

TCP

클라이언트

UCCX

1023보다 큼

8447

HTTPS - Unified Intelligence Center 온라인 도움말

HTTPS

TCP

클라이언트

UCCX

1023보다 큼

8553

SSO(Single Sign-On) 구성 요소는 이 인터페이스에 액세스하여 Cisco IdS의 작동 상태를 파악합니다.

HTTP

TCP

클라이언트

UCCX

1023보다 큼

9080

HTTP 트리거 또는 문서/프롬프트/문법/라이브 데이터에 액세스하려는 클라이언트.

HTTPS

TCP

클라이언트

UCCX

1023보다 큼

9443

HTTPS 트리거에 액세스하려는 클라이언트에 응답하는 데 사용되는 보안 포트

TCP

TCP

클라이언트

UCCX

1023보다 큼

12014

이 포트는 라이브 데이터 보고 클라이언트가 socket.IO 서버에 연결할 수 있는 포트입니다.

TCP

TCP

클라이언트

UCCX

1023보다 큼

12015

이 포트는 라이브 데이터 보고 클라이언트가 socket.IO 서버에 연결할 수 있는 포트입니다.

CTI

TCP

클라이언트

UCCX

1023보다 큼

12028

CCX에 대한 타사 CTI 클라이언트

RTP(미디어)

TCP

엔드포인트

UCCX

1023보다 큼

1023보다 큼

미디어 포트는 필요에 따라 동적으로 열립니다.

RTP(미디어)

TCP

클라이언트

엔드포인트

1023보다 큼

1023보다 큼

미디어 포트는 필요에 따라 동적으로 열립니다.

클라이언트 보안

SIP OAuth로 Jabber 및 Webex 보안

Jabber 및 Webex 클라이언트는 CAPF(Certificate Authority Proxy Function) 활성화가 필요하지 않은 LSC(Locally Significant Certificate) 대신 OAuth 토큰을 통해 인증됩니다(MRA의 경우에도 마찬가지). 혼합 모드를 사용하거나 사용하지 않고 작동하는 SIP OAuth가 Cisco Cisco Unified CM 12.5(1), Jabber 12.5, Expressway X12.5에 도입되었습니다.

Cisco Unified CM 12.5에는 SIP REGISTER의 단일 TLS(Transport Layer Security) + OAuth 토큰을 사용하여 LSC/CAPF 없이 암호화를 활성화하는 Phone Security Profile의 새로운 옵션이 있습니다. Expressway-C 노드는 AXL(Administrative XML Web Service) API를 사용하여 Cisco Unified CM에 인증서의 SN/SAN을 알립니다. Cisco Unified CM은 상호 TLS 연결을 설정할 때 이 정보를 사용하여 Exp-C 인증서를 확인합니다.

SIP OAuth는 엔드포인트 인증서(LSC) 없이 미디어 및 신호 암호화를 활성화합니다.

Cisco Jabber는 TFTP 서버에 대한 HTTPS 연결을 통해 임시 포트와 보안 포트 6971 및 6972 포트를 사용하여 구성 파일을 다운로드합니다. 포트 6970은 HTTP를 통해 다운로드하기 위한 비보안 포트입니다.

SIP OAuth 구성에 대한 자세한 내용: SIP OAuth 모드.

DNS 요구 사항

전용 인스턴스의 경우, Cisco는 <customer>.<region>.wxc-di.webex.com 형식(예: xyz.amer.wxc-di.webex.com)으로 각 지역의 서비스에 대한 FQDN을 제공합니다.

‘고객’ 값은 관리자가 FTSW(First Time Setup Wizard)의 일부로 제공합니다. 자세한 정보는 전용 인스턴스 서비스 활성화를 참조하십시오.

이 FQDN에 대한 DNS 레코드는 전용 인스턴스에 연결하는 온-프레미스 장치를 지원하기 위해 고객의 내부 DNS 서버에서 확인할 수 있어야 합니다. 확인을 쉽게 하려면 고객은 전용 인스턴스 DNS 서비스를 가리키는 DNS 서버에서 이 FQDN에 대해 조건부 전달자를 구성해야 합니다. 전용 인스턴스 DNS 서비스는 지역적이며 전용 인스턴스에 대한 피어링을 통해 아래 표 전용 인스턴스 DNS 서비스 IP 주소에 언급된 대로 다음 IP 주소를 사용하여 연결할 수 있습니다.

표 5. 전용 인스턴스 DNS 서비스 IP 주소

지역/DC

전용 인스턴스 DNS 서비스 IP 주소

조건부 전달 예시

AMER

<customer>.amer.wxc-di.webex.com

SJC

69.168.17.100

DFW

69.168.17.228

EMEA

<customer>.emea.wxc-di.webex.com

LON

178.215.138.100

AMS

178.215.138.228

APJC

<customer>.apjc.wxc-di.webex.com

TOK

103.232.71.100

SIN

103.232.71.228

AUS

<customer>.aus.wxc-di.webex.com

MEL

178.215.128.100

SYD

178.215.128.228


보안상의 이유로 위에서 언급한 DNS 서버 IP 주소에 대해 핑 옵션은 비활성화됩니다.

조건부 전달이 이루어질 때까지 장치는 피어링 링크를 통해 고객 내부 네트워크에서 전용 인스턴스에 등록할 수 없습니다. MRA(Mobile and Remote Access)를 통한 등록에는 조건부 전달이 필요하지 않습니다. MRA를 쉽게 하는 데 필요한 모든 외부 DNS 레코드를 Cisco에서 미리 프로비저닝하기 때문입니다.

Webex 응용프로그램을 전용 인스턴스에서 통화 소프트 클라이언트로 사용하는 경우, 각 지역의 VSD(Voice Service Domain)에 대해 Control Hub에서 UC 관리자 프로필을 구성해야 합니다. 자세한 정보는 Cisco Webex Control Hub에서 UC 관리자 프로필을 참조하십시오. Webex 응용프로그램은 최종 사용자 개입 없이 고객의 Expressway Edge를 자동으로 해결할 수 있습니다.


VSD(Voice Service Domain)는 서비스 활성화가 완료되면 파트너 액세스 문서의 일부로 고객에게 제공됩니다.