Nettverkskrav for dedikert forekomst

Fysisk sikkerhet

Det er viktig å gi fysisk sikkerhet til Equinix Meet-Me Room-plasseringer og Ciscos dedikerte forekomst-datasenterfasiliteter. Når fysisk sikkerhet er kompromittert, kan enkle angrep som tjenesteavbrudd ved å slå av strømmen til en kundes brytere initieres. Med fysisk tilgang kan angripere få tilgang til serverenheter, tilbakestille passord og få tilgang til brytere. Fysisk tilgang legger også til rette for mer sofistikerte angrep som man-in-the-middle-angrep, og derfor er det andre sikkerhetslaget, nettverkssikkerheten, kritisk.

Selvkrypterende stasjoner brukes i dedikerte forekomster-datasentre som er vert for UC-applikasjoner.

For mer informasjon om generell sikkerhetspraksis, se dokumentasjonen på følgende sted: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Nettverksikkerhet

Partnere må sørge for at alle nettverkselementene er sikret i dedikert forekomst-infrastruktur (som kobles til via Equinix). Det er partnerens ansvar å sikre beste praksis for sikkerhet som:

• Separat VLAN for tale og data

• Aktiver Port Security som begrenser antall MAC-adresser som er tillatt per port, mot CAM-tabelloversvømmelse

• IP-kildebeskyttelse mot falske IP-adresser

• Dynamic ARP Inspection (DAI) undersøker adresseoppløsningsprotokoll (ARP) og gratis ARP (GARP) for brudd (mot ARP-spoofing)

• 802.1x begrenser nettverkstilgang til å autentisere enheter på tildelte VLAN (telefoner støtter 802.1x)

• Konfigurasjon av tjenestekvalitet (QoS) for passende merking av talepakker

• Brannmurportkonfigurasjoner for å blokkere all annen trafikk

Endpoints Security

Cisco-endepunkter støtter standard sikkerhetsfunksjoner som signert fastvare, sikker oppstart (valgte modeller), produsentinstallert sertifikat (MIC) og signerte konfigurasjonsfiler, som gir et visst sikkerhetsnivå for endepunkter.

I tillegg kan en partner eller kunde aktivere ekstra sikkerhet, for eksempel:

• Krypter IP-telefontjenester (via HTTPS) for tjenester som Extension Mobility

• Utstede lokalt signifikante sertifikater (LSC) fra sertifikatmyndighetens proxy-funksjon (CAPF) eller en offentlig sertifikatmyndighet (CA)

• Krypter konfigurasjonsfiler

• Krypter media og signalering

• Deaktiver disse innstillingene hvis de ikke brukes: PC-port, PC Voice VLAN Access, Gratuitous ARP, Web Access, Settings-knapp, SSH, konsoll

Implementering av sikkerhetsmekanismer i den dedikerte forekomsten forhindrer identitetstyveri av telefonene og Unified CM-serveren, tukling av data og manipulering av samtalesignaler/mediestrømmer.

Dedikert forekomst over nettverket:

• Etablerer og vedlikeholder autentiserte kommunikasjonsstrømmer

• Signerer filer digitalt før filen overføres til telefonen

• Krypterer mediestrømmer og samtalesignalering mellom Cisco Unified IP-telefoner

Sikre UC-applikasjoner

Sikring av kommunikasjon mellom Cisco Unified CM og CUBE

For sikker kommunikasjon mellom Cisco Unified CM og CUBE, må partnere/kunder bruke enten selvsignerte sertifikater eller CA-signerte sertifikater.

For selvsignerte sertifikater:

1. CUBE og Cisco Unified CM genererer selvsignerte sertifikater

2. CUBE eksporterer sertifikatet til Cisco Unified CM

3. Cisco Unified CM eksporterer sertifikat til CUBE

For CA-signerte sertifikater:

1. Klienten genererer et nøkkelpar og sender en forespørsel om sertifikatsignering (CSR) til Certificate Authority (CA)

2. CA signerer den med sin private nøkkel, og lager et identitetssertifikat

3. Klienten installerer listen over pålitelige CA-rot- og mellomleddsertifikater og identitetssertifikatet

Protokollsammendrag

Tabellen nedenfor viser protokollene og tilknyttede tjenester som brukes i Unified CM-løsningen.

For mer informasjon om MRA-konfigurasjon, se: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Sikring av Jabber og Webex med SIP OAuth

Jabber- og Webex-klienter autentiseres gjennom et OAuth-token i stedet for et lokalt signifikant sertifikat (LSC), som ikke krever aktivering av Certificate Authority proxy-funksjon (CAPF) (også for MRA). SIP OAuth som arbeider med eller uten blandet modus ble introdusert i Cisco Unified CM 12.5(1), Jabber 12.5 og Expressway X12.5.

I Cisco Unified CM 12.5 har vi et nytt alternativ i Phone Security Profile som muliggjør kryptering uten LSC/CAPF, ved å bruke enkelt Transport Layer Security (TLS) + OAuth-token i SIP REGISTER. Expressway-C-noder bruker Administrative XML Web Service (AXL) API for å informere Cisco Unified CM om SN/SAN i sertifikatet deres. Cisco Unified CM bruker denne informasjonen til å validere Exp-C-sertifikatet ved etablering av en gjensidig TLS-tilkobling.

SIP OAuth muliggjør medie- og signalkryptering uten et endepunktsertifikat (LSC).

Cisco Jabber bruker Ephemeral-porter og sikre porter 6971 og 6972 via HTTPS-tilkobling til TFTP-serveren for å laste ned konfigurasjonsfilene. Port 6970 er en ikke-sikker port for nedlasting via HTTP.

Flere detaljer om SIP OAuth-konfigurasjon: SIP OAuth-modus.