Nettverkskrav for dedikert forekomst

Fysisk sikkerhet

Det er viktig å gi fysisk sikkerhet til Equinix Meet-Me Room-lokasjoner og Cisco Dedicated Instance Data Center-fasiliteter. Når fysisk sikkerhet er kompromittert, kan enkle angrep, for eksempel tjenesteavbrudd, ved å slå av strømmen til en kundes brytere, startes. Med fysisk tilgang kan angripere få tilgang til serverenheter, tilbakestille passord og få tilgang til svitsjer. Fysisk tilgang letter også mer sofistikerte angrep som mann-i-midten-angrep, og derfor er det andre sikkerhetslaget, nettverkssikkerheten, kritisk.

Selvkrypterende stasjoner brukes i dedikerte forekomstdatasentre som er vert for UC-programmer.

Hvis du vil ha mer informasjon om generelle sikkerhetsrutiner, kan du se dokumentasjonen på følgende plassering: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Nettverkssikkerhet

Partnere må sørge for at alle nettverkselementene er sikret i dedikert forekomstinfrastruktur (som kobles til via Equinix). Det er partnerens ansvar å sikre gode fremgangsmåter for sikkerhet, for eksempel:

• Separat VLAN for tale og data

• Aktiver portsikkerhet som begrenser antall MAC-adresser som er tillatt per port, mot oversvømmelse av CAM-tabell

• IP-kildebeskyttelse mot falske IP-adresser

• Dai (Dynamic ARP Inspection) undersøker adresseløsningsprotokoll (ARP) og umotivert ARP (GARP) for brudd (mot ARP-forfalskning)

• 802.1x begrenser nettverkstilgangen for å godkjenne enheter på tilordnede VLAN-er (telefoner støtter 802.1x)

• Konfigurasjon av tjenestekvalitet (QoS) for riktig merking av talepakker

• Brannmurporter konfigurasjoner for å blokkere annen trafikk

Sikkerhet for sluttpunkt

Cisco-endepunkter støtter standard sikkerhetsfunksjoner som signert fastvare, sikker oppstart (valgte modeller), produsentinstallerte sertifikatfiler (MIC) og signerte konfigurasjonsfiler, som gir et visst sikkerhetsnivå for endepunkter.

I tillegg kan en partner eller kunde aktivere ekstra sikkerhet, for eksempel:

• Krypter IP-telefontjenester (via HTTPS) for tjenester som Extension Mobility

• Utstede lokalt viktige sertifikater (LSCer) fra proxy-funksjonen (CAPF) for sertifiseringsinstansen eller en offentlig sertifiseringsinstans (CA)

• Kryptere konfigurasjonsfiler

• Krypter medier og signaler

• Deaktiver disse innstillingene hvis de ikke brukes: PC-port, PC Voice VLAN Access, Umotivert ARP, Web-tilgang, Innstillinger-knapp, SSH, konsoll

Implementering av sikkerhetsmekanismer i dedikert forekomst forhindrer identitetstyveri av telefonene og Unified CM-serveren, datamanipulering og anropssignalering / media-stream-manipulering.

Dedikert forekomst over nettverket:

• Etablerer og vedlikeholder godkjente kommunikasjonsstrømmer

• Signerer filer digitalt før filen overføres til telefonen

• Krypterer mediestrømmer og anropssignalering mellom Cisco Unified IP-telefoner

Sikre UC-programmer

Sikre kommunikasjon mellom Cisco Unified CM og CUBE

For sikker kommunikasjon mellom Cisco Unified CM og CUBE må partnere/kunder bruke enten selvsignerte eller CA-signerte sertifikater.

For selvsignerte sertifikater:

1. CUBE og Cisco Unified CM genererer selvsignerte sertifikater

2. CUBE eksporterer sertifikat til Cisco Unified CM

3. Cisco Unified CM eksporterer sertifikat til CUBE

For CA-signerte sertifikater:

1. Klienten genererer et nøkkelpar og sender en sertifikatsigneringsforespørsel (CSR) til sertifiseringsinstansen (CA)

2. Sertifiseringsinstansen signerer den med sin private nøkkel, og oppretter et identitetssertifikat

3. Klienten installerer listen over klarerte rot- og mellomliggende sertifikater og identitetssertifikatet

Sammendrag av protokoll

Tabellen nedenfor viser protokollene og de tilknyttede tjenestene som brukes i Unified CM-løsningen.

Hvis du vil ha mer informasjon om MRA-konfigurasjon, kan du se: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Sikre Jabber og Webex med SIP OAuth

Jabber- og Webex-klienter godkjennes gjennom et OAuth-token i stedet for et lokalt viktig sertifikat (LSC), som ikke krever CAPF-aktivering (certificate authority proxy function) (for MRA). SIP OAuth som arbeider med eller uten blandet modus ble introdusert i Cisco Unified CM 12.5(1), Jabber 12.5 og Expressway X12.5.

I Cisco Unified CM 12.5 har vi et nytt alternativ i Telefonsikkerhetsprofil som muliggjør kryptering uten LSC/CAPF, ved hjelp av TLS + OAuth-token (Single Transport Layer Security) + OAuth-token i SIP REGISTER. Expressway-C-noder bruker AXL-APIen (Administrative XML Web Service) til å informere Cisco Unified CM om SN/SAN i sertifikatet. Cisco Unified CM bruker denne informasjonen til å validere Exp-C-kassen når en gjensidig TLS-tilkobling opprettes.

SIP OAuth aktiverer medie- og signalkryptering uten et endepunktsertifikat (LSC).

Cisco Jabber bruker Flyktige porter og sikre porter 6971- og 6972-porter via HTTPS-tilkobling til TFTP-serveren for å laste ned konfigurasjonsfilene. Port 6970 er en usikker port for nedlasting via HTTP.

Flere detaljer om SIP OAuth-konfigurasjon: SIP OAuth-modus.