Netwerkvereisten voor toegewezen exemplaar

Fysieke beveiliging

Het is belangrijk om fysieke beveiliging te bieden aan Equinix Meet-Me Room-locaties en Cisco Toegewezen exemplaar Datacenterfaciliteiten. Wanneer de fysieke beveiliging in gevaar komt, kunnen eenvoudige aanvallen worden gestart, zoals serviceonderbrekingen door de stroom naar de switches van een klant uit te schakelen. Met fysieke toegang kunnen aanvallers toegang krijgen tot serverapparaten, wachtwoorden opnieuw instellen en toegang krijgen tot switches. Fysieke toegang maakt ook meer geavanceerde aanvallen mogelijk, zoals man-in-the-middle-aanvallen. Daarom is de tweede beveiligingslaag, de netwerkbeveiliging, van cruciaal belang.

Zelfversleutelende stations worden gebruikt in Toegewezen exemplaar Datacenters die UC-toepassingen hosten.

Raadpleeg de documentatie op de volgende locatie voor meer informatie over algemene beveiligingsprocedures: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Netwerkbeveiliging

Partners moeten ervoor zorgen dat alle netwerkelementen zijn beveiligd in Toegewezen exemplaar infrastructuur (die verbinding maakt via Equinix). Het is de verantwoordelijkheid van de partner om te zorgen voor aanbevolen procedures op het gebied van beveiliging, zoals:

• Afzonderlijk VLAN voor spraak en data

• Poortbeveiliging inschakelen waarmee het aantal toegestane MAC -adressen per poort wordt beperkt, tegen overstromingen van de CAM-tabel

• IP -bronbescherming tegen vervalste IP -adressen

• Dynamic ARP Inspection (DAI) onderzoekt ARP (Address Resolution Protocol) en gratis ARP (GARP) op schendingen (tegen ARP-spoofing)

• 802.1x beperkt netwerktoegang tot het verifiëren van apparaten op toegewezen VLAN's (telefoons ondersteunen 802.1x )

• Configuratie van de servicekwaliteit (QoS) voor de juiste markering van spraakpakketten

• Configuraties van firewallpoorten voor het blokkeren van ander verkeer

Endpoint Security

Cisco -eindpunten ondersteunen standaardbeveiligingsfuncties zoals ondertekende firmware, beveiligd opstarten (geselecteerde modellen), door de fabrikant geïnstalleerd certificaat (MIC) en ondertekende configuratiebestanden, die een bepaald beveiligingsniveau voor eindpunten bieden.

Daarnaast kan een partner of klant aanvullende beveiliging inschakelen, zoals:

• IP-telefoon coderen (via HTTPS) voor services zoals Extension Mobility

• Lokaal belangrijke certificaten (LSC's) uitgeven via de proxyfunctie van de Certificate Authority Proxy Function (CAPF) of een openbare certificeringsinstantie (CA)

• Configuratiebestanden coderen

• Media en signalering versleutelen

• Schakel deze instellingen uit als ze niet worden gebruikt: Pc-poort, Pc Voice VLAN Access, Gratuitous ARP, Web Access, Instellingenknop, SSH, console

Beveiligingsmechanismen implementeren in de Toegewezen exemplaar voorkomt identiteitsdiefstal van de telefoons en de Unified CM-server, sabotage van gegevens en sabotage van gesprekssignalering/mediastream.

Toegewezen exemplaar via het netwerk:

• Brengt geverifieerde communicatiestromen tot stand en onderhoudt deze

• Bestanden digitaal ondertekenen voordat het bestand naar de telefoon wordt overgebracht

• Versleutelt mediastreams en gesprekssignalering tussen Cisco Unified IP -telefoons

Beveiligde UC-toepassingen

Communicatie beveiligen tussen Cisco Unified CM en CUBE

Voor veilige communicatie tussen Cisco Unified CM en CUBE moeten partners/klanten een zelfondertekend certificaat of door een CA ondertekende certificaten gebruiken.

Voor zelfondertekende certificaten:

1. CUBE en Cisco Unified CM genereren zelfondertekende certificaten

2. CUBE exporteert certificaat naar Cisco Unified CM

3. Cisco Unified CM exporteert certificaat naar CUBE

Voor door een CA ondertekende certificaten:

1. Client genereert een sleutelpaar en verzendt een certificaatondertekeningsverzoek (CSR) naar de Certificate Authority (CA)

2. De CA ondertekent deze met zijn persoonlijke sleutel, waardoor een identiteitscertificaat wordt gemaakt

3. Client installeert de lijst met vertrouwde CA-basiscertificaten en tussencertificaten en het identiteitscertificaat

Protocoloverzicht

In de volgende tabel ziet u de protocollen en bijbehorende services die worden gebruikt in de Unified CM -oplossing.

Zie voor meer informatie over MRA-configuratie: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Jabber en Webex beveiligen met SIP OAuth

Jabber- en Webex clients worden geverifieerd via een OAuth-token in plaats van een Locally Significant Certificate (LSC ), waarvoor geen CAPF Certificate Authority Proxy Function ) is vereist (ook voor MRA). SIP OAuth met of zonder gemengde modus is geïntroduceerd in Cisco Unified CM 12.5(1), Jabber 12.5 en Expressway X12.5.

In Cisco Unified CM 12.5 hebben we een nieuwe optie in het telefoonbeveiligingsprofiel waarmee versleuteling zonder LSC/ CAPF wordt gemaakt, met behulp van één TLS ( Transport Layer Security ) + OAuth-token in SIP REGISTER. Expressway-C-knooppunten gebruiken de AXL- API (Administrative XML Web Service) om Cisco Unified CM te informeren over het SN/SAN in hun certificaat. Cisco Unified CM gebruikt deze informatie om het Exp-C-certificaat te valideren bij het tot stand brengen van een wederzijdse TLS -verbinding.

SIP OAuth schakelt media- en signaleringsversleuteling in zonder een eindpuntcertificaat (LSC).

Cisco Jabber gebruikt kortstondige poorten en beveiligde poorten 6971 en 6972 via een HTTPS-verbinding met de TFTP -server om de configuratiebestanden te downloaden. Poort 6970 is een niet-beveiligde poort voor downloaden via HTTP.

Meer informatie over SIP OAuth-configuratie: SIP OAuth-modus .