Dziękujemy za opinię.

Webex CallingKrawędź

Aby przeprowadzić rejestrację lub wywołanie SIP, wykonaj następujące kroki:

• Odkryj adres hosta punktu końcowego SIP dla aktywnych węzłów Edge.

• Spełnij wszelkie warunki wstępne związane z konfiguracją użytkownika i urządzenia.

• Upewnij się, że punkt końcowy ma łączność z siecią publiczną, aby rozpocząć wykrywanie usług.

• Wypełnij warunki wstępne uruchamiania punktu końcowego za pomocą konfiguracji przydzielania specyficznej dla regionu lub centrum danych. Ta konfiguracja pomaga uzyskać odpowiedni przyrostek nazwy domeny do wykrywania usługi.

IPv4 kontra IPv6

Urządzenia mogą działać w trybie pojedynczej wersji lub podwójnego stosu. To konfiguracja określa zmiany w preferowanym protokole, a zmiany te nie są częścią wykrywania usług.

• Tryb pojedynczego stosu — włącza tylko jeden protokół IP (na przykład IPv4) i ignoruje pozostałe adresy protokołu.

• Tryb podwójnego stosu — wybiera preferowaną wersję IP poprzez konfigurację.

Klient uważa, że priorytet dla wszystkich preferowanych adresów jest niższy (czyli preferowany) niż wszystkie adresy IP. Jeśli preferowany jest protokół IPv4, wszystkie adresy IPv4 są próbowane przed próbą podania adresu IPv6. Jeśli wszystkie adresy nie powiedzą się, cykl rozpoczyna się ponownie od preferowanego adresu protokołu o najniższym priorytecie.

Klient mobilny rejestrujący się po otrzymaniu powiadomienia push może zdecydować się na optymalizację trybu w oparciu o poprzednie rejestracje.

Rozdzielanie adresu hosta z DNS SRV adresu

W pliku konfiguracyjnym punktu końcowego uzyskanym z przydziału wskaźnik domeny określa nazwę domeny do wykrycia usługi krawędzi dostępu. Przykładem nazwy domeny jest:

wxc.edge.bcld.webex.com

Z przykładu punkt końcowy przeprowadzający wyszuki DNS SRV wanie dla tej domeny może dać odpowiedź podobną do następującej:

# nslookup -type=srv _sips._tcp. wxc.edge.bcld.webex.com
_sips._tcp.wxc.edge.bcld.webex.com SRV 5 100 5061 sip-edge1.us-dc1.bcld.webex.com.
_sips._tcp.wxc.edge.bcld.webex.com SRV 10 105 5061 sip-edge2.us-dc1. bcld.webex.com.

W tym przypadku rekord SRV wskazuje na rekordy 3 A.

sip-edge1.us-dc1.bcld.webex.com
sip-edge2.us-dc1.bcld.webex.com

W przykładzie, wszyscy gospodarze mają kontaktować się z portem 5061 z różną wagą i priorytetem.

Rozważ te wymagania dotyczące punktów końcowych.

• Punkt końcowy musi używać _sips._tcp(kombinacji usługi i protokołu) jako prefiksu, aby przeprowadzić wyszuki DNS SRV wanie w celu uzyskania adresu hosta do inicjowania komunikacji opartej na TLS.

• Punkt końcowy musi przeprowad DNS SRV zić wyszukiwanie warunków wyjaśnionych w sekcji Adres hosta w sekcji DNS SRV Adres.

• Punkt końcowy musi honorować host, port, wagę i priorytet zgodnie z reklamami dla każdego adresu hosta. Ponadto musi tworzyć powinowactwo hosta do portu podczas tworzenia połączenia gniazda podczas rejestracji SIP.

• Specyficzne dla wykorzystania DNS SRV rekordu, kryteria wyboru gospodarzy na podstawie priorytetu i wagi są wyjaśnione w RFC 2782.

Wymagania dotyczące bezpiecznego SIP z MTL (wzajemny TLS)

Wymagania są szczegółowo wyjaśnione tutaj.

Certyfikat Signed jest wymagany do pomyślnej autoryzacji i uwierzytelniania połączeń z magistrali. Certyfikat musi spełniać następujące wymagania:

• Certyfikat musi być podpisany przez urzędowego urzędu certyfikacji wymienionego w W hat root Certificate Authority są obsługiwane w przypadku połączeń do platform Cisco Webex audio i wideo?

• Prześlij pakiet zaufania wymieniony w sekcji Jakie organy certyfikatów głównych są obsługiwane w przypadku połączeń z platformami Cisco Webex audio i wideo? Przejdźmy do kostki.

• Certyfikat powinien być ważny zawsze:

  • Podpisane certyfikaty muszą zawsze mieć ważny termin ważności.

  • Certyfikaty główne lub pośrednie muszą mieć ważnego wygaśnięcia i nie mogą być cofnięte.

  • Obsługi wane są certyfikaty zawierające tylko rozszerzone użycie klucza uwierzytelniania serwera (EKU). Webex Callingnie weryfikuje ani nie wymusza obecności EKU uwierzytelniania klienta podczas tworzenia uścisku dłoni TLS.

    Niektóre zewnętrzne kontrolery granicy sesji (SBC) mogą wymuszać ścisłą walidację EKU i mogą odrzucać certyfikaty, które nie zawierają EKU uwierzytelniania klienta. W takich przypadkach należy upewnić się, że SBC jest skonfigurowany do akceptowania certyfikatów tylko z EKU uwierzytelniania serwera lub wyłączania ścisłej walidacji EKU (jeśli jest obsługiwana).

  • Certyfikaty muszą zawierać nazwę domeny w pełni kwalifikowaną (FQDN) jako nazwę zwyczajową lub alternatywną nazwę podmiotu w certyfikacie z FQDN wybranym w centrum sterowania. Na przykład:

    • Trunk skonfigurowany z centrum sterowania Twojej organizacji z london.lgw.cisco.com:5061 jako FQDN musi zawierać london.lgw.cisco.com w certyfikacie CN lub SAN.

    • Trunk skonfigurowany z centrum sterowania Twojej organizacji za pomocą london.lgw.cisco.com był SRV, który musi zawierać london.lgw.cisco.com w certyfikacie CN lub SAN. Rekordy, na które adres SRV jest rozdzielany (CNAME /A Record/Adres IP) są opcjonalne w SAN.

  • Certyfikaty można udostępniać więcej niż jednej bramce lokalnej, jednak upewnij się, że wymagania FQDN są spełnione.

Poza zakresem

Ten artykuł nie zawiera następujących informacji związanych z bezpieczeństwem sieci:

• Wymagania F5 dla CA i szyfrów

• Interfejs API oparty na protokole HTTP do pobierania reguł zapory sieciowej dla Webex.

• API dla pakietu zaufania

• Wymagania dotyczące zapory ogniowej i wyłączenie ALG