Wymagania sieciowe dla wystąpienia dedykowanego

Zabezpieczenia fizyczne

Ważne jest, aby zapewnić fizyczne bezpieczeństwo lokalizacji Equinix Meet-Me Room i Cisco Dedykowane wystąpienie Obiekty centrum danych. Gdy bezpieczeństwo fizyczne zostanie naruszone, można zainicjować proste ataki, takie jak przerwanie usług przez wyłączenie zasilania przełączników klienta. Dzięki dostępowi fizycznemu osoby atakujące mogą uzyskać dostęp do urządzeń serwerowych, zresetować hasła i uzyskać dostęp do przełączników. Fizyczny dostęp ułatwia również bardziej wyrafinowane ataki, takie jak ataki typu man-in-the-middle, dlatego druga warstwa zabezpieczeń, bezpieczeństwo sieci, ma kluczowe znaczenie.

Dyski samoszyfrujące są używane w Dedykowane wystąpienie Centra danych obsługujące aplikacje UC.

Aby uzyskać więcej informacji na temat ogólnych zasad bezpieczeństwa, zapoznaj się z dokumentacją w następującej lokalizacji: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Bezpieczeństwo sieci

Partnerzy muszą upewnić się, że wszystkie elementy sieci są zabezpieczone w Dedykowane wystąpienie infrastruktury (która łączy się przez Equinix). Obowiązkiem partnera jest zapewnienie najlepszych praktyk w zakresie bezpieczeństwa, takich jak:

• Oddzielna VLAN do przesyłania głosu i danych

• Włącz zabezpieczenia portów, które ograniczają liczbę dozwolonych adresów MAC na port, aby zapobiec zalewaniu tabel CAM

• Ochrona źródła IP przed fałszywymi adresami IP

• Dynamic ARP Inspection (DAI) sprawdza protokół rozpoznawania adresów (ARP) i nieuzasadniony protokół ARP (GARP) pod kątem naruszeń (przeciwko fałszowaniu ARP)

• 802.1x ogranicza dostęp do sieci w celu uwierzytelniania urządzeń w przypisanych sieciach VLAN (telefony obsługują 802.1x )

• Konfiguracja jakości usługi (QoS) w celu odpowiedniego oznaczania pakietów głosowych

• Konfiguracje portów zapory do blokowania wszelkiego innego ruchu

Zabezpieczenia punktów końcowych

Punkty końcowe Cisco obsługują domyślne funkcje zabezpieczeń, takie jak podpisane oprogramowanie sprzętowe, bezpieczny rozruch (wybrane modele), certyfikat zainstalowany przez producenta (MIC) i podpisane pliki konfiguracyjne, które zapewniają określony poziom bezpieczeństwa punktów końcowych.

Ponadto partner lub klient może włączyć dodatkowe zabezpieczenia, takie jak:

• Szyfrowanie usług telefonicznych IP (przez HTTPS) dla usług, takich jak Extension Mobility

• Wydaj certyfikaty o znaczeniu lokalnym (LSC) za pomocą funkcji serwera proxy urzędu certyfikacji (CAPF) lub publicznego urzędu certyfikacji (CA)

• Zaszyfruj pliki konfiguracyjne

• Zaszyfruj multimedia i sygnalizację

• Wyłącz te ustawienia, jeśli nie są używane: Port PC, dostęp do VLAN PC Voice, Gratuitous ARP, dostęp do sieci Web, przycisk Ustawienia, SSH, konsola

Wdrożenie mechanizmów bezpieczeństwa w Dedykowane wystąpienie zapobiega kradzieży tożsamości telefonów i serwera Unified CM , manipulowaniu danymi oraz manipulowaniem sygnalizacją połączenia/strumieniem multimediów.

Dedykowane wystąpienie przez sieć:

• Ustanawia i utrzymuje uwierzytelnione strumienie komunikacji

• Podpisuje cyfrowo pliki przed przesłaniem ich do telefonu

• Szyfruje strumienie multimediów i sygnalizację połączeń między telefonami IP Cisco Unified

Bezpieczne aplikacje UC

Zabezpieczanie komunikacji między Cisco Unified CM a CUBE

Aby zapewnić bezpieczną komunikację między Cisco Unified CM i CUBE, partnerzy/klienci muszą używać certyfikatu z podpisem własnym lub certyfikatu z podpisem urzędu certyfikacji.

W przypadku certyfikatów z podpisem własnym:

1. CUBE i Cisco Unified CM generują certyfikaty z podpisem własnym

2. CUBE eksportuje certyfikat do Cisco Unified CM

3. Cisco Unified CM eksportuje certyfikat do CUBE

W przypadku certyfikatów podpisanych przez urząd certyfikacji:

1. Klient generuje parę kluczy i wysyła żądanie podpisania certyfikatu (CSR) do urzędu Certificate Authority (CA)

2. Urząd certyfikacji podpisuje go swoim kluczem prywatnym, tworząc certyfikat tożsamości

3. Klient instaluje listę zaufanych certyfikatów głównych i pośrednich urzędu certyfikacji oraz certyfikat tożsamości

Podsumowanie protokołu

W poniższej tabeli przedstawiono protokoły i powiązane usługi używane w rozwiązaniu Unified CM .

Aby uzyskać więcej informacji na temat konfiguracji MRA, zobacz: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Zabezpieczanie Jabbera i Webex za pomocą protokołu SIP OAuth

Klienci Jabber i Webex są uwierzytelniani za pomocą tokenu OAuth zamiast certyfikatu ważnego lokalnie (LSC), który nie wymaga włączenia funkcji serwera proxy urzędu certyfikacji (CAPF) (również dla MRA). Protokół SIP OAuth działający w trybie mieszanym lub bez niego został wprowadzony w Cisco Unified CM 12.5(1), Jabber 12.5 i Expressway X12.5.

W Cisco Unified CM 12.5 dostępna jest nowa opcja w profilu zabezpieczeń telefonu, która umożliwia szyfrowanie bez użycia algorytmu LSC/ CAPF przy użyciu pojedynczego tokenu Transport Layer Security (TLS) + tokenu OAuth w protokole SIP REGISTER. Węzły Expressway-C używają API AXL (Administracyjne XML Web Service) do informowania systemu Cisco Unified CM o SN/SAN w ich certyfikacie. Cisco Unified CM wykorzystuje te informacje do sprawdzania poprawności certyfikatu Exp-C podczas nawiązywania wzajemnego połączenia TLS .

SIP OAuth umożliwia szyfrowanie multimediów i sygnalizacji bez certyfikatu punktu końcowego (LSC).

Cisco Jabber używa portów efemerycznych i bezpiecznych portów 6971 i 6972 za pośrednictwem połączenia HTTPS z serwerem TFTP w celu pobrania plików konfiguracyjnych. Port 6970 to niezabezpieczony port do pobierania za pośrednictwem protokołu HTTP.

Więcej informacji o konfiguracji protokołu SIP OAuth: Tryb SIP OAuth .