Wymagania sieciowe dla Webex for Government (FedRAMP)

Wymagania sieciowe dla Webex for Government (FedRAMP).

Porty FedRAMP Webex Meetings i zakresy IP.

FedRAMP Meetings/Webex For Government

Następujące zakresy adresów IP są wykorzystywane przez witryny wdrożone w klastrze spotkań FedRAMP. W przypadku tego dokumentu zakresy te są określane jako „Zakresy IP Webex”:

Uwaga: Cztery najlepsze zakresy adresów IP zostały niedawno dodane, aby ułatwić naszym klientom korzystanie z nich.

Skrócona instrukcja obsługi portów spotkań i numerów IP

150.253.150.0/23 (150.253.150.0 do 150.253.151.255)
144.196.224.0/21 (144.196.224.0 do 144.196.231.255)
23.89.18.0/23 (23.89.18.0–23.89.19.255)
163.129.16.0/21 (163.129.16.0 do 163.129.23.255)
170.72.254.0/24 (170.72.254.0 do 170.72.254.255)
170.133.156.0/22 (170.133.156.0 do 170.133.159.255)
207.182.160.0/21 (207.182.160.0 do 207.182.167.255)
207.182.168.0/23 (207.182.168.0 do 207.182.169.255)
207.182.176.0/22 (207.182.176.0–207.182.179.255)
207.182.190.0/23 (207.182.190.0–207.182.191.255)
216.151.130.0/24 (216.151.130.0–216.151.130.255)
216.151.134.0/24 (216.151.134.0–216.151.134.255)
216.151.135.0/25 (216.151.135.0–216.151.135.127)
216.151.135.240/28 (216.151.135.240–216.151.135.255)
216.151.138.0/24 (216.151.138.0–216.151.138.255)
216.151.139.0/25 (216.151.139.0 do 216.151.139.127)
216.151.139.240/28 (216.151.139.241 do 216.151.139.254)

Usługi wdrożone w tym zakresie IP obejmują między innymi:

Strona internetowa spotkania (np. customersite.webex.com)
Serwery danych spotkań
Serwery multimedialne dla audio komputera (VoIP) i wideo z kamery internetowej
Usługi XML/API, w tym planowanie narzędzi zwiększających wydajność
Serwery nagrań sieciowych (NBR)
Usługi pomocnicze, gdy usługi podstawowe są utrzymywane lub gdy występują trudności techniczne

Następujące identyfikatory URI są używane do sprawdzania listy cofania certyfikatów pod kątem naszych certyfikatów zabezpieczeń. Listy cofania certyfikatów w celu zapewnienia, że do przechwytywania bezpiecznego ruchu Webex nie można używać żadnych naruszonych certyfikatów. Ten ruch odbywa się na porcie TCP 80:

*.quovadisglobal.com.
*.digicert.com
*.identrust.com (certyfikaty IdenTrust)

Uwaga:
Następujący Użytkownicy będą przekazywani przez Webex w procesie utiltp w Webex i powinni być dopuszczeni przez zaporę agencji:

UserAgent=WebexInMeetingWin
UserAgent=WebexInMeetingMac
UserAgent=prefetchDocShow
UserAgent=standby

https://activation.webex.com/api/v1/ping jako część dozwolonych adresów URL. Jest on używany jako część procesu aktywacji urządzenia i „urządzenie korzysta z niego, zanim wie, że jest to urządzenie FedRAMP. Urządzenie wysyła mu kod aktywacyjny bez informacji FedRAMP, usługa widzi, że jest to kod aktywacyjny FedRAMP, a następnie przekierowuje je."

Cały ruch FedRAMP jest wymagany do użycia szyfrowania TLS 1.2 i szyfrowania mTLS 1.2 dla zarejestrowanych urządzeń SIP na prem:

Porty używane przez klientów Webex Meetings

Porty używane przez klientów Webex Meeting (w tym urządzenia zarejestrowane w chmurze)
Protokół	Numery portów	Kierunek	Typ ruchu	Zakres IP	Komentarze
TCP	80 / 443	Wychodzące do usługi Webex	HTTP, HTTPS	Webex i AWS (Nie zaleca się filtrowania według adresu IP)	.webex.com .gov.ciscospark.com *.s3.us-gov-west-1.amazonaws.com (służy do podawania statycznych treści i plików) Webex zaleca filtrowanie według adresu URL. JEŚLI Filtrowanie według adresu IP, należy zezwolić na zakresy adresów IP AWS GovCloud, Cloudfront i Webex.
TCP/UDP	53	Wychodzące do lokalnego systemu DNS	Usługi nazw domen (DNS)	Tylko serwer DNS	Służy do wyszukiwania DNS w celu wykrywania adresów IP serwerów Webex w chmurze. Mimo że typowe wyszukiwania DNS są wykonywane za pośrednictwem protokołu UDP, niektóre z nich mogą wymagać protokołu TCP, jeśli odpowiedzi na zapytanie nie mieszczą go w pakietach UDP.
UDP	9000,5004	Wychodzące do usługi Webex	Podstawowe multimedia klienta Webex (VoIP i Video RTP)	Webex	Port multimedialny klienta Webex służy do wymiany dźwięku z komputera, obrazy z kamery internetowej i strumieni udostępniania zawartości. Otwarcie tego portu jest wymagane, aby zapewnić jak najlepsze doświadczenie medialne.
TCP	5004, 443, 80	Wychodzące do usługi Webex	Alternatywne multimedia klienta Webex (VoIP i Video RTP)	Webex	Port rezerwowy do obsługi łączności w zakresie multimediów, gdy port UDP 9000 nie jest otwarty w zaporze
UDP/TCP	Audio: 52000 do 52049 Wideo: 52100 do 52199	Przychodzące do sieci	Webex Client Media (Voip i wideo)	Powrót z AWS i Webex	Webex skomunikuje się z odebranym portem docelowym podczas nawiązywania połączenia przez klienta. Zapora powinna być skonfigurowana tak, aby zezwalała na te połączenia zwrotne. Uwaga: Ta opcja jest domyślnie włączona.
TCP/UDP	Porty Ephemeral specyficzne dla systemu operacyjnego	Przychodzące do sieci	Ruch powrotny z usługi Webex	Powrót z AWS i Webex	Webex skomunikuje się z odebranym portem docelowym podczas nawiązywania połączenia przez klienta. Zapora powinna być skonfigurowana tak, aby zezwalała na te połączenia zwrotne. Uwaga: jest to zazwyczaj automatycznie otwierane w zaporze stateful jednak jest wymienione tutaj dla kompletności

Dla klientów obsługujących Webex for Government, którzy nie mogą zezwolić na filtrowanie oparte na adresie URL dla HTTPS, należy zezwolić na połączenie z AWS Gov Cloud West (region: us-gov-west-1) i Cloud Front (usługa: POCHMURNO). Zapoznaj się z dokumentacją AWS, aby zidentyfikować zakresy IP dla regionu AWS Gov Cloud West i frontu AWS Cloud. Dokumentacja AWS jest dostępna na stronie https://docs.aws.amazon.com/general/latest/gr/aws‐ip‐ranges.html.
Cisco Webex zdecydowanie zaleca filtrowanie według adresu URL, jeśli to możliwe.

Cloudfront jest używany do statycznych treści dostarczanych za pośrednictwem sieci dostarczania treści, aby zapewnić klientom najlepszą wydajność w całym kraju.

Porty używane przez Premise Zarejestrowane urządzenia Cisco Video Collaboration

Porty używane przez zarejestrowane urządzenia Cisco Video Collaboration Devices (zobacz także Przewodnik wdrażania Cisco Webex Meetings Enterprise dla spotkań z włączonym urządzeniem wideo)
Protokół	Numery portów	Kierunek	Typ dostępu	Zakres IP	Komentarze
TCP	5061-5070	Wychodzące do usługi Webex	Sygnalizacja SIP	Webex	Krawędź multimediów Webex nasłuchuje tych portów
TCP	5061, 5065	Przychodzące do sieci	Sygnalizacja SIP	Webex	Przychodzący ruch sygnalizacyjny SIP z chmury Webex
TCP	5061	Wychodzące do usługi Webex	Sygnalizacja SIP z urządzeń zarejestrowanych w chmurze	AWS	Połączenia przychodzące z urządzeń zarejestrowanych w aplikacji Webex 1:1 Calling i Cloud do lokalnego zarejestrowanego identyfikatora URI SIP. *5061 to port domyślny. Webex obsługuje porty 5061-5070 używane przez klientów zgodnie z definicją w ich rekordzie SIP SRV
TCP/UDP	1719, 1720, 15000-19999	Wychodzące do usługi Webex	H.323 LS	Webex	Jeśli punkt końcowy wymaga komunikacji z bramkarzem, otwórz również port 1719, który zawiera rozmiar Lifesize
TCP/UDP	Porty Ephemeral, 36000-59999	Przychodzące	Porty sesji multimedialnej	Webex	Jeśli używasz węzła Cisco Expressway, zakresy multimediów muszą być ustawione na 36000–59999. Jeśli używasz punktu końcowego lub funkcji kontroli połączeń podmiotu zewnętrznego, muszą one być skonfigurowane pod kątem korzystania z tego zakresu.
TCP	443	Przychodzące	Bliskość urządzenia premisyjnego	Sieć lokalna	Aplikacja Webex lub aplikacja komputerowa Webex muszą mieć ścieżkę umożliwiającą podłączenie protokołu IPv4 między sobą a urządzeniem wideo przy użyciu protokołu HTTPS.

Dla klientów umożliwiających Webex for Government odbieranie połączeń przychodzących z urządzeń zarejestrowanych w aplikacji Webex 1:1 Calling i Cloud do lokalnego zarejestrowanego identyfikatora URI SIP. Należy również zezwolić na połączenie z AWS Gov Cloud West (region: nas-gov-west-1). Zapoznaj się z dokumentacją AWS, aby zidentyfikować zakresy IP dla regionu AWS Gov Cloud West. Dokumentacja AWS jest dostępna pod adresem https://docs.aws.amazon.com/general/latest/gr/aws‐ip‐ranges.html.

Porty używane przez Webex Edge Audio

Porty używane przez Webex Edge Audio (potrzebne tylko dla klientów korzystających z Webex Edge Audio)
Protokół	Numery portów	Kierunek	Typ dostępu	Zakres IP	Komentarze
TCP	5061-5062	Przychodzące do sieci	Sygnalizacja SIP	Webex	Przychodząca sygnalizacja SIP dla Webex Edge Audio
TCP	5061-5065	Wychodzące do usługi Webex	Sygnalizacja SIP	Webex	Wychodząca sygnalizacja SIP dla Webex Edge Audio
TCP/UDP	Porty Ephemeral, 8000-59999	Przychodzące do sieci	Porty sesji multimedialnej	Webex	W zaporze przedsiębiorstwa porty muszą być otwarte dla ruchu przychodzącego do Expressway z zakresem portów od 8000 do 59999

Aby skonfigurować mTLS, patrz poniżej:

Skonfiguruj uwierzytelnianie |Wzajemne TLS Expressway.
Obsługiwane główne urzędy certyfikacji |Cisco Webex Audio and Video Platform.
Cisco Webex Edge Audio |Configuration Guide.