Dziękujemy za opinię.

Rozważmy hipotetycznego partnera Webex o nazwie TelSP, aby zilustrować różne modele wdrożeń, które partner może przyjąć.

Oto specyfikacje i wymagania TelSP na wysokim poziomie:

• Partner planuje używać sip.telsp.com jako domeny najwyższego poziomu, która jest udostępniana wszystkim klientom, którym zarządzają.

• Partner jest właścicielem sip.telsp.com i może administrować infrastrukturą DNS i organami certyfikatów, zarządzać adresami DNS i podpisywać certyfikaty dla tej domeny i jej poddomen.

• Partner może wdrożyć dwa odrębne kontrolery granicy sesji (fizyczne lub wirtualne) jako lokalne bramki umożliwiające współdzielony dostęp PSTN wśród klientów końcowych.

• Partner ma dwie fizyczne witryny, i obie te witryny mają wspólną łączność PSTN:

  • Miami

  • Chicago

• TelSP obsługuje swoje lokalne bramy w imieniu dwóch klientów CuSTA i CustB, o których mowa w niniejszym dokumencie.

Pożądanym scenariuszem jest uruchomienie/zakończenie PSTN dla obu klientów korzystających z bram Miami i Chicago dostarczonych przez partnera, jak pokazano na ilustracji:

Przykład uproszczonego wdrożenia

Poniższy uproszczony przykład pokazuje, w jaki sposób identyfikacja certyfikatu równorzędnego umożliwia pojedynczemu certyfikatowi obsługę wielu połączeń klientów:

• Certyfikat —sip. telsp.com

• Pnie

  • custa.sip.telsp.com

  • custb.sip.telsp.com

• Tożsamość certyfikatu równorzędnego —sip.tel sp.com

• Wynik

  • Używany jest pojedynczy certyfikat

  • Obsługiwane są liczne łączniki klientów

Skojarzenie lokalizacji klienta z magistralą i bramką

Poniższe sekcje zawierają szczegółowe mapowania konfiguracji dla w drożenia opisanego powyżej.

Webex Callingumożliwia tworzenie pni i udostępnianie p nia w wielu lokalizacjach. Podczas tworzenia pnia należy skojarzyć bagażnik z lokalizacją.

W przypadku CuStA szczegóły bagażnika są następujące:

Na ilustracji przedstawiono powiązanie lokalizacji klienta z Gateway and Trunk for CuSTA:

W tym wdrożeniu magistral skojarzony z lokalizacją jest głównym połączeniem PSTN dla tej lokalizacji. Drugi bagażnik jest używany jako dodatkowe połączenie PSTN lub trasa dla określonych wpisów planu wybierania. Implementacja podstawowej i wtórnej relacji połączenia PSTN odbywa się za pomocą koncepcji Route Group. Szczegółowe informacje można znaleźć w sekcji Konfigurowanie ścieżek br amy w sekcji Centrum sterowania.

W przypadku CustB twor zona jest podobna konfiguracja z następującymi trunkami:

Na ilustracji przedstawiono powiązanie lokalizacji klienta z Gateway i Trun k dla CustB:

Ilustracja pokazuje trzecią lokalizację, mianowicie Nowy Jork, którą możesz dodać później i wskazać na bagażnik trunk_chicago jako jego główne połączenie PSTN.

Podczas wdrażania lokalnej bramy, która współdziela wiele łączy, Cisco nakazuje stosowanie unikalnego FQDN na łącznik. Szczegółowe informacje można znaleźć w sekcji Konfigurowanie pól, -route-groups, -and-dial-plans-for-webex-calls.

Korzystanie z adresu IP i dobrze znanego portu na bagażnik jest idealnym wyborem. Jednak uzyskanie publicznego adresu IPv4 może stanowić wyzwanie dla niektórych partnerów, którzy chcą używać jednego adresu na bramę na witrynę.

Dlatego przeczytaj te ważne wskazówki:

• Cisco nie nakazuje adresu IP na bagażnik.

• Adres magistralny może zostać przeniesiony na unikalny adres IP lub adres udostępniany między innym magistralem.

• Firma Cisco zaleca skonfigurowanie każdego połączenia magistralnego za pomocą unikalnego adresu IP i kombinacji portów w lokalnej bramie z następujących powodów:

  1. Utrzymanie oddzielnych połączeń TCP na bagażnik obsługuje maksymalną współbieżną pojemność połączeń na łącznik. Udostępnianie adresów IP i kombinacji portów między sieciami komórkowymi może negatywnie wpłynąć na pojemność połączeń.

  2. Zapewnia izolację na poziomie sieci między klientami

  3. Typowe dla kontrolerów granicznych sesji jest ponowne użycie efemerycznego połączenia z gniazdem TCP, chyba że istnieje izolacja zapewniona jako unikalny dzierżawca podzielony adresem IP lub unikalnym portem słuchowym dla najemcy.

  4. Połączenie lub połączenia na bagażnik poprzez izolację najemcy zapewniają lepszą przepustowość, szczególnie w warunkach sieciowych z dużą utratą danych. Dlatego ruch z jednego klienta nie ma wpływu na drugiego.

Adres IP na bramę: konfiguracja i zalecenia dotyczące magistrali

Zapoznaj się z poniższymi przykładami różnych modeli planowania:

Model 1: Unikalny adres IP na bagażnik

W tym modelu wszystkie łączniki hostowane przez obie bramki rozdzielają się na unikalny adres IP, a każda z tych łączy może, ale nie musi używać tego samego portu, ale najlepiej tego samego portu.

Przedstawienie informacji w formie tabelarycznej:

W tym samym modelu partner może użyć adresu SRV. Webex Callingpozwala tylko na „_sips. _tcp” jako kombinacja usługi i protokołu do wykrycia adresu równorzędnego, jeśli jest to rekord SRV.

Przykład sposobu rozwiązywania rekordu SRV

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.custa.sip.telsp.com

Model 2: Współdzielony adres IP na bramę, unikalne porty słuchania

W tym modelu wszystkie łączniki hostowane w lokalnej bramie Chicago są rozdzielane na ten sam adres IP, a wszystkie łączniki hostowane w lokalnej bramie Miami są rozdzielane na inny adres IP. Jednak w przypadku korzystania z tego samego adresu IP każdy blok jest konfigurowany za pomocą FQDN w koncentratorze sterowania i jest skonfigurowany z unikalnym portem.

W tym samym modelu partner używa adresu SRV. Webex Callingpozwala tylko na „_sips. _tcp” jako kombinacja usługi i protokołu do wykrycia adresu równorzędnego, jeśli jest to rekord SRV.

Kolejna próbka rozwiązania rekordu SRV jest następująca. W tym przykładzie istnieje 1 re kord na adres IP. Jednak port jest unikalny dla każdego adresu i jest reprezentowany przez określon ą konfigurację DNS łączącą adres SRV z prawym portem.

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.sip.telsp.com

nslookup -type=srv _sips._tcp.trunk.miami.custb.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custb.sip.telsp.com = 3600 50 5062 miami.sip.telsp.com

W przypadku ścieżek opartych na SRV tożsamość Peer cert jest początkowo wypełniana na podstawie skonfigurowanych wartości SRV i można ją dostosować, z zastrzeżeniem tych samych reguł walidacji.

Partner jest właścicielem telsp.com i jego subdomen. Dlatego serwer DNS i uprawnienia do otrzymywania certyfikatów podpisanych przez zatwierdzony organ certyfikacji spoczywają na partnerze.

• Cisco Webexoczekuje, że partner opublikuje adres FQDN lub SRV, w tym A Records, w domenie publicznej.

• Cisco Webexoczekuje, że partner skorzysta z jednego z organów certyfikacji wymienionych w tym dokumencie.

Podczas konfigurowania pni za pomocą FQDN lub SRV:

• Każdy bagażnik musi nadal mieć unikalny FQDN do routingu i identyfikacji

• Rekordy DNS (A Record lub SRV) muszą być poprawnie skonfigurowane i rozpoznawalne

• Te FQDNS służą do sygnalizacji i routingu. Walidacja certyfikatu jest wykon ywana na podstawie skonfigurowanej tożsamości certyfikatu równorzędnego, która domyślnie ma wartości FQDN magistrali, ale można ją dostosować do wspólnej tożsamości należącej do partnera.

  Pole tożsamości certyfikatu równorzędnego jest wstępnie wypełnione z podstawowego FQDN i można je zastąpić współdzieloną domeną należącą do partnera, aby używać jednego certyfikatu w wielu punktach danych klientów.

Konfigurowanie bramy

Użyj tych zasobów, aby skonfigurować bramę lokalną.

Aby skonfigurować Cisco CUBE, użyj tej procedury: S konfiguruj bramę lokalną na Cisco IOS XE dla Webex Calling

Możesz skonfigurować zatwierdzone SBC innych firm, zobacz: Pierwsze kro ki z lokalną bramą

Skonfiguruj bramę hostowaną przez partnera zgodnie z poniższymi wytycznymi: Rozpocz nij pracę z lokalną bramą

Ustaw każdy bagażnik zgodnie z odpowiednimi instrukcjami dla urządzenia SBC. Aby zapoznać się z instrukcjami Cisco CUBE, zobacz: Konfigurowanie bramy lokal Cisco IOS nej na XE Webex Calling

Konfiguruj klasy głosowe, wybieraj grupy równorzędne i wybieraj grupy równorzędne dla ruchu przychodzącego i wychodzącego dla bagażnika zgodnie z obrazem:

Podczas przydzielania bazy danych Control Hub udostępnia opcję konfigurowania tożsamości certyfikatu równorzęd nego na stronie Dodaj punkt odniesienia. To ulepszenie upraszcza przepływ pracy, umożliwiając partnerom konfigurowanie i ponowne użycie jednej domeny najwyższego poziomu w wielu organizacjach klientów. Takie podejście eliminuje potrzebę oddzielnych certyfikatów dla klienta lub magistrali, zmniejszając wysiłek operacyjny i upraszczając proces konfiguracji.

Podczas konfigurowania ścieżek w Centrum sterowania zdefiniuj tożsamość certyfikatu równor zędnego, aby umożliwić używanie pojedynczego certyfikatu dla domeny najwyższego poziomu we wszystkich organizacjach klientów . Upewnij się, że CN lub SAN certyfikatu zawiera tę domenę najwyższego poziomu. W przypadku tożsamości Peer cert lokalna bramka wykorzystuje pojedynczy certyfikat, którego CN lub SAN zawiera współdzieloną domenę partnera (na przykład sip.telsp.com). Certyfikaty wieloznaczne (na przykład *.sip.telsp.com) nie są obsługiwane. Webex Callingakceptuje ten certyfikat dla każdego elementu magistralnego klienta, który został wyraźnie skonfigurowany z tą wartością jako tożsamość certyfikatu równorzędnego. Certyfikat musi zawierać dokładnie skonfigurowaną wartość tożsamości Peer cert w jego CN lub SAN. Eliminuje to konieczność konfigurowania oddzielnych certyfikatów lub wpisów CN/SAN dla poszczególnych magistralnych FQDNS.

Weryfikacja domeny i korzystanie z certyfikatu

Ważne jest, aby zrozumieć, czym weryfikacja domeny różni się od użycia certyfikatu:

• Wer@@ yfikacja domeny (na klienta) — każda organizacja klienta musi niezależnie zweryfikować domenę (na przykład sip.telsp.com), dodając unikalny rekord TXT w DNS. Zapewnia to, że partner jest właścicielem domeny i zapobiega nieautoryzowanemu użyciu.

• Zarządzanie certyfikatami (globalne) — pojedynczy certyfikat wydany dla domeny najwyższego poziomu partnera może być udostępniany we wszystkich sieciach klientów przy użyciu tożsamości Peer cert. Nie ma wymogu utrzymywania oddzielnych certyfikatów na klienta lub na bagażnik.

Zachowanie tożsamości rówieśniczej

Peer cert tożsamości definiuje tożsamość Webex Calling oczekiwaną w certyfikacie przedstawionym przez lokalną bramkę.

Po skonfigurowaniu:

• Webex Callingweryfikuje certyfikat poprzez dopasowanie skonfigurowanej tożsamości certyfik atu Peer do CN lub SAN w certyfikacie

• Jeśli wartości są zgodne, połączenie TLS jest akceptowane

• Jeśli wartości nie są zgodne, połączenie zostanie odrzucone

Dopuszcza się uwierzytelnianie tylko ścieżki jawnie skonfigurowane z pasującą tożsamością Peer cert.

Sama walidacja certyfikatu nie jest jedyną kontrolą wykonywaną podczas uwierzytelniania. Oprócz walidacji certyfikatu CN lub SAN w odniesieniu do skonfigurowanej tożsamości Peer cert, sprawdza Webex Calling również, czy magistral FQDN jest jawnie skonfigurowany i skojarzony z pasującą tożsamością certyfikatu Peer w Control Hub.

Tożsamość Peer cert jest wstępnie wypełniona z wartości magistrali FQDN/SRV. Jeśli zachowasz ustawienia domyślne, istniejące zachowanie certyfikatu dla poszczególnych magistrali pozostanie niezmienione. Istniejące bagażniki oparte na certyfikatach nadal działają bez modyfikacji. Możesz przyjąć wspólną tożsamość Peer cert na nowych lub istniejących pniach we własnym tempie, i oba modele mogą współistnieć.

1. Przykład prawidłowej konfiguracji:

   • Certyfikat CN —sip.tel sp.com

   • Certyfikat SAN —custa.sip. telsp.com

   • Tożsamość certyfikatu równorzędnego —custa.sip. telsp.com

   • Bagażnik FQDN —trunk.miami.custa.sip.telsp.com

   Wynik —Połączenie kończy się sukcesem, ponieważ tożsamość Peer cert (custa.sip.telsp.com) odpowiada wartości SAN w certyfik@@ acie, a wartość FQDN (trunk.miami.custa.sip.telsp.com) jest subdomeną skonfigurowanej tożsamości Peer cert.

2. Przykład awarii połączenia:

   • Certyfikat CN —sip.tel sp.com

   • Certyfikat SAN —custa.sip. telsp.com

   • Tożsamość certyfikatu rówieśniczego —custb.sip. telsp.com

   • Bagażnik FQDN —trunk.miami.custb.sip.telsp.com

   Wy nik — Połączenie kończy się niepowodzeniem podczas uścisku dłoni TLS, ponieważ tożsamość Peer cert (custb.sip.telsp.com) nie jest obecna w CN lub SAN certyfikatu. Trunk FQDN jest poprawnie subdomeną tożsamości Peer cert, ale certyfikat nie zawiera tej tożsamości.

3. Przykład nieprawidłowej konfiguracji:

   • Certyfikat CN —sip.tel sp.com

   • Certyfikat SAN —custa.sip. telsp.com

   • Tożsamość certyfikatu równorzędnego —custa.sip. telsp.com

   • Bagażnik FQDN —trunk.miami.custb.sip.telsp.com

   Wy nik — Control Hub odrzuca tę konfigurację w czasie oszczędności, ponieważ wartość FQDN (trunk.miami.custb.sip.telsp.com) nie jest równa lub nie jest subdomeną skonfigurowanej tożsamości Peer cert (custa.sip.telsp.com).

W centrum partnerskim można uruchomić Centrum sterowania dla CustA lub CustB i skonfigurować bramę. Procedura ta służy do skonfigurowania dla każdego klienta:

1. Utwórz łącznik — dodaj łącznik w obszarze Połączenia/Routing połączenia/Trunk dla każdej bramy współdzielonej przez partnera. Aby skonfigurować bagażnik, zobacz Konfigurowanie linii kolejowych, grup tras i planów wybierania Webex Calling

2. Dodaj domenę i zweryfikuj — dodaj i zweryfikuj następującą domenę używaną do tworzenia bazy danych w obszarze Zarządzanie/Ustawienia organizacji/ Domeny.

   KlientB	CustomERC
   pl.telsp.com	pl.telsp.com

   Po dodaniu domeny token jest generowany i umieszczany w rekordzie TXT dla domeny na serwerze DNS partnera. Ten rekord umożliwia Control Hub sprawdzenie, czy domena jest własnością partnera. Aby uzyskać szczegółowe informacje, zobacz Zarządzanie domenami

   Wspólna domena jest używana do weryfikacji każdego klienta. Ponieważ jednak ta weryfikacja odbywa się na poziomie organizacji klienta, upewnij się, że inny token jest generowany i używany do weryfikacji w każdej organizacji klienta. Ponieważ pojedyncza domena jest używana we wszystkich organizacjach klientów, a każda organizacja klienta musi niezależnie zweryfikować domenę przy użyciu unikalnego rekordu TXT, nawet jeśli współdzielą tę samą domenę.

   Dla tożsamości Peer cert wymagana jest tylko weryfikacja domeny. Nie zgłaszaj udostępni onej domeny do organizacji klienta. Domena może być zgłoszona tylko przez jedną organizację, podczas gdy ta sama domena może być weryfikowana w wielu organizacjach.

3. Skonfiguruj adres SBC za pomocą FQDN—

   Dla bramy Miami:

   Parametr	KlientB	CustomERC
   Lokalizacja	Denver	Boston
   Nazwa bagażnika	trunk_miami	trunk_miami
   Typ bagażnika	Na podstawie certyfikatu	Na podstawie certyfikatu
   Typ urządzenia	na przykład Cisco Unified Border Element(lub inne obsługiwane urządzenie)	na przykład Cisco Unified Border Element(lub inne obsługiwane urządzenie)
   Typ adresu SBC	FQDN	FQDN
   Nazwa hosta	lgw.miami	lgw.miami
   Domena	pl.telsp.com	pl.telsp.com
   Port	5061	5062
   FQDN	lgw.miami.customerb.sip.telsp.com:5061	lgw.miami.customerc.sip.telsp.com:5062
   Maksymalna liczba jednoczesnych połączeń (250-6500)	500	500

   Dla bramy Chicago:

   Parametr	KlientB	CustomERC
   Lokalizacja	Detroit	Dallas
   Nazwa bagażnika	trunk_Chicago	trunk_Chicago
   Typ bagażnika	Na podstawie certyfikatu	Na podstawie certyfikatu
   Typ urządzenia	na przykład Cisco Unified Border Element(lub inne obsługiwane urządzenie)	na przykład Cisco Unified Border Element(lub inne obsługiwane urządzenie)
   Typ adresu SBC	FQDN	FQDN
   Nazwa hosta	lgw.Chicago	lgw.Chicago
   Domena	pl.telsp.com	pl.telsp.com
   Port	5061	5062
   FQDN	lgw.chicago.customerb.sip.telsp.com:5061	lgw.chicago.customerc.sip.telsp.com:5062
   Maksymalna liczba jednoczesnych połączeń (250-6500)	500	500

   • (Opcjonalnie) Nazwy bagażnika nie muszą być unikalne w organizacjach klientów. Ponowne użycie tej samej nazwy (na przykład trunk_miami) ułatwia śledzenie bagażnika.

   • Niektóre SBC umożliwiają konfigurowanie tego samego portu, ale ta konfiguracja może mieć wpływ na pojem ność. Dlatego używaj różnych portów.

4. Tożsamość z certyfikatem rówieśniczym—

   • Prefiks —Prefiks jest opcjonalny. Pozostaw ją pustą, aby ustawić tożsamość Peer cert dla samej domeny. Jest to model współdzielonego certyfikatu użyty w tym artykule (Peer cert identity — sip.telsp.com, obejmujący wszystkie typy klientów). Opcjonalnie wprowadź prefiks, aby zdefiniować bardziej konkretną tożsamość certyfikatu (na przykład prefiks: CustomerB, Domena: Customerb.sip.telsp.com dla certyfikatu dla każdego klienta). Sam magistral FQDN pozostaje zdefiniowany przez pola Nazwa hosta adresu SBC i Domena i musi być równa lub subdomenie wynikowej tożsamości Peer cert.

     Przykład:

     Prefiks — CustomerB

     Domena — sip.telsp.com

     Wynik — customerb.sip.telsp.com

   • Domena: Wybierz domenę z listy domen zweryfikowanych w organizacji klienta. Wynikowa tożsamość Peer cert (prefiks + domena) musi odpowiadać CN lub SAN certyfikatu prezentowanego przez SBC. Webex Callingużywa tej wartości do uwierzytelniania połączenia TLS.

     

     Control Hub odrzuca tę konfigurację w czasie oszczędzania, ponieważ magistral FQDN nie znajduje się pod skonfigurowanym identyfikatorem Peer cert.

     Jeśli tożsamość Peer cert nie pasuje do CN lub SAN w certyfikacie przedstawionym przez SBC, Webex Calling odrzuca połączenie TLS, a łącznik nie ustala się.

5. Korzystanie z bagażników — wybierz dowolne położenie bagażnika ze względu na następujące elementy:

   • Dowolna lokalizacja może korzystać z bagażnika w połączeniu PSTN.

   • Dostęp do bagażnika można uzyskać przez grupę tras.

   • Każdy plan wybierania może korzystać z bagażnika.

6. Zobacz definicje pnia wraz z powiązanymi lokalizacjami:

   

   Możesz użyć tych pni do tworzenia grup tras. Na obrazku zdefiniowana jest grupa tras rg_miami_chicago, która wywoła trasy do trunk_miami jako opcji podstawowej i do trunk_ chicago jako opcji dodatkowej.

   

   Można zdefiniować drugą grupę tras rg_chicago_miami, która kieruje wywołania do trzonu trunk_chicago jako opcji podstawowej i do trunk_miami jako opcji dodatkowej.

7. Zdefiniowane pnie i grupy tras są teraz dostępne w opcji PSTN połączenia wywoł ującego dla każdej lokalizacji. Na zdjęciu, zobacz lokalizację Denver.

   

8. Można użyć pni i grup tras w definicji planu wybierania. Na przykład zakres numerów lokalnych w Chicago dla klienta jest podzielony w celu zakończenia grupy tras rg_chicago_miami (dla wszystkich lokalizacji) na obrazku:

   

   

Dostarczanie na dużą skalę z interfejsami API

Partnerzy zarządzający dużą liczbą organizacji klientów mogą udostępniać domeny na dużą skalę przy użyciu interfejsów API zamiast interfejsu użytkownika.

• Zweryfikuj domenę

• Kierowanie połączeń