Wymagania dotyczące bezpieczeństwa w usłudze Webex Calling

Webex Calling Edge

Aby wykonać rejestrację lub połączenie SIP, postępuj zgodnie z poniższymi instrukcjami:

• Wykryj adres hosta punktu końcowego SIP dla aktywnych węzłów brzegowych.

• Zapewnij spełnienie wszystkich warunków wstępnych dotyczących konfiguracji użytkownika i urządzenia.

• Upewnij się, że punkt końcowy ma łączność z siecią publiczną, aby rozpocząć wykrywanie usług.

• Zapewnij spełnienie warunków wstępnych ładowania punktu końcowego przy użyciu konfiguracji inicjowania obsługi specyficznej dla regionu lub dla centrum danych. Ta konfiguracja pomaga uzyskać odpowiedni sufiks nazwy domeny na potrzeby wykrywania usług.

Protokoły IPv4 i IPv6

Urządzenia mogą działać w trybie pojedynczej wersji lub podwójnego stosu. To konfiguracja określa zmiany w preferowanym protokole i zmiany te nie są częścią wykrywania usług.

• Tryb pojedynczego stosu — powoduje włączenie tylko jednego protokołu IP (na przykład IPv4) i ignorowanie adresów pozostałych protokołów.

• Tryb podwójnego stosu — powoduje wybranie preferowanej wersji protokołu IP za pośrednictwem konfiguracji.

Klient traktuje priorytety wszystkich adresów preferowanych jako mające niższą wartość (czyli będące preferowanymi) niż wszystkie adresy protokołu IP. Jeśli preferowany jest protokół IPv4, przed próbą uzyskania adresu IPv6 wypróbowywane są wszystkie adresy IPv4. Jeśli wszystkie próby pozyskania adresów zakończą się niepowodzeniem, cykl rozpocznie się od nowa z adresem preferowanego protokołu mającym najniższy priorytet.

Klient mobilny rejestrujący się po otrzymaniu powiadomienia wypychanego może zdecydować o optymalizacji trybu na podstawie poprzednich rejestracji.

Rozpoznawanie adresu hosta na podstawie adresu SRV DNS

W pliku konfiguracyjnym punktu końcowego uzyskanym podczas inicjowania obsługi wskaźnik domeny określa nazwę domeny na potrzeby wykrywania usługi brzegowej dostępu. Przykładowa nazwa domeny to:

wxc.edge.bcld.webex.com

W tym przykładzie punkt końcowy wykonujący wyszukiwanie SRV DNS dla tej domeny może zwrócić odpowiedź podobną do następującej:

 # nslookup -type=srv _sips._tcp. wxc.edge.bcld.webex.com _sips._tcp.wxc.edge.bcld.webex.com SRV 5 100 5061 sip-edge1.us-dc1.bcld.webex.com. _sips._tcp.wxc.edge.bcld.webex.com SRV 10 105 5061 sip-edge2.us-dc1. bcld.webex.com. 

W takim przypadku rekord SRV wskazuje na 3 rekordy A.

 sip-edge1.us-dc1.bcld.webex.com sip-edge2.us-dc1.bcld.webex.com 

W tym przykładzie wszystkie hosty mają rozgłaszaną informację, aby łączyć się z portem 5061 z użyciem różnych wag i priorytetów.

Należy wziąć pod uwagę następujące wymagania dotyczące punktów końcowych.

• An endpoint must use _sips._tcp (service & protocol combination) as the prefix to perform a DNS SRV lookup for obtaining host address for initiating TLS-based communication.

• Punkt końcowy musi przeprowadzić wyszukiwanie SRV DNS w celu spełnienia warunków przedstawionych w części Rozpoznawanie adresu hosta na podstawie adresu SRV DNS.

• Punkt końcowy musi uwzględniać hosty, porty, wagi i priorytety zgodnie z informacjami rozgłaszanymi dla poszczególnych adresów hostów. Ponadto musi on tworzyć koligację między hostem a portem podczas tworzenia połączenia gniazda w trakcie rejestracji SIP.

• Specyficzne dla korzystania z rekordu SRV DNS kryteria wyboru hostów na podstawie priorytetu i wagi opisano w dokumencie RFC 2782.

Wymagania dotyczące bezpiecznego połączenia SIP z protokołem mTLS („mutual TLS”, protokół wzajemnych połączeń TLS)

Te wymagania szczegółowo opisano w tym miejscu.

Na potrzeby pomyślnej autoryzacji i uwierzytelniania połączeń z łącza magistralowego wymagany jest podpisany certyfikat. Certyfikat ten musi spełniać następujące wymagania:

• The certificate must be signed by a CA mentioned in  What Root Certificate Authorities are Supported for Calls to Cisco Webex Audio and Video Platforms?

• Upload the trust bundle mentioned in  What Root Certificate Authorities are Supported for Calls to Cisco Webex Audio and Video Platforms? on to the CUBE.

• Certyfikat powinien być ważny zawsze:

  • Podpisane certyfikaty muszą zawsze mieć prawidłową datę wygaśnięcia.

  • Certyfikaty główne lub pośrednie muszą mieć prawidłową datę wygaśnięcia i nie mogą być unieważnione.

  • Certyfikaty muszą być podpisane na potrzeby wykorzystywania przez klienta i przez serwer.

  • Certyfikaty muszą zawierać w pełni kwalifikowaną nazwę domeny (FQDN) jako nazwę powszechną lub jako nazwę alternatywną podmiotu w certyfikacie z nazwą FQDN wybraną w Control Hub. Na przykład:

    • Łącze magistralowe skonfigurowane z poziomu Control Hub Twojej organizacji z nazwą FQDN london.lgw.cisco.com:5061 musi zawierać ciąg london.lgw.cisco.com w nazwie CN lub SAN certyfikatu.

    • Łącze magistralowe skonfigurowane z poziomu Control Hub Twojej organizacji z adresem SRV london.lgw.cisco.com musi zawierać ciąg london.lgw.cisco.com w nazwie CN lub SAN certyfikatu. Rekordy, na które wskazuje rozpoznany adres SRV (CNAME/rekord A/adres IP), są opcjonalne w sieci SAN.

  • Certyfikaty można udostępniać więcej niż jednej bramie lokalnej, należy jednak upewnić się, że spełnione są wymagania dotyczące nazwy FQDN.

Poza zakresem

Ten artykuł nie zawiera następujących informacji związanych z zabezpieczeniami sieci:

• Wymagania firmy F5 dotyczące urzędu certyfikacji i szyfrów

• Interfejs API oparty na protokole HTTP do pobierania reguł zapory na potrzeby usług Webex.

• Interfejs API do obsługi pakietów zaufania

• Wymagania dotyczące zapory i wyłączanie bramy ALG