Wymagania sieciowe dla dedykowanej instancji

Bezpieczeństwo fizyczne

Ważne jest, aby zapewnić fizyczne bezpieczeństwo lokalizacjom Equinix Meet-Me Room i obiektom Cisco Dedicated Instance Data Center. Gdy zabezpieczenia fizyczne zostaną naruszone, można zainicjować proste ataki, takie jak zakłócenie usługi poprzez wyłączenie zasilania przełączników klienta. Dzięki fizycznemu dostępowi osoby atakujące mogą uzyskać dostęp do urządzeń serwerowych, zresetować hasła i uzyskać dostęp do przełączników. Dostęp fizyczny ułatwia również bardziej wyrafinowane ataki, takie jak ataki typu man-in-the-middle, dlatego druga warstwa bezpieczeństwa, bezpieczeństwo sieci, ma kluczowe znaczenie.

Dyski samoszyfrujące są używane w centrach danych dedykowanych instancji , które obsługują aplikacje UC.

Aby uzyskać więcej informacji na temat ogólnych praktyk bezpieczeństwa, zapoznaj się z dokumentacją w następującej lokalizacji: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Bezpieczeństwo sieci

Partnerzy muszą upewnić się, że wszystkie elementy sieci są zabezpieczone w infrastrukturze dedykowanej instancji (która łączy się za pośrednictwem Equinix). Obowiązkiem partnera jest zapewnienie najlepszych praktyk w zakresie bezpieczeństwa, takich jak:

• Oddzielna sieć VLAN dla głosu i danych

• Włącz zabezpieczenia portów, które ograniczają liczbę adresów MAC dozwolonych na port, przed zalaniem tabeli CAM

• Ochrona źródła IP przed sfałszowanymi adresami IP

• Dynamiczna inspekcja ARP (DAI) bada protokół rozpoznawania adresów (ARP) i nieuzasadniony ARP (GARP) pod kątem naruszeń (przed fałszowaniem ARP)

• 802.1x ogranicza dostęp do sieci w celu uwierzytelniania urządzeń w przypisanych sieciach VLAN (telefony obsługują standard 8021x).

• Konfiguracja jakości usług (QoS) dla odpowiedniego oznaczania pakietów głosowych

• Konfiguracje portów zapory sieciowej do blokowania innego ruchu

Bezpieczeństwo punktów końcowych

Punkty końcowe Cisco obsługują domyślne funkcje zabezpieczeń, takie jak podpisane oprogramowanie układowe, bezpieczny rozruch (wybrane modele), certyfikat zainstalowany przez producenta (MIC) i podpisane pliki konfiguracyjne, które zapewniają określony poziom bezpieczeństwa punktów końcowych.

Ponadto partner lub klient może włączyć dodatkowe zabezpieczenia, takie jak:

• Szyfrowanie usług telefonii IP (przez HTTPS) dla usług takich jak Extension Mobility

• Wystawianie certyfikatów istotnych lokalnie (LSC) z funkcji serwera proxy urzędu certyfikacji (CAPF) lub publicznego urzędu certyfikacji (CA)

• Szyfrowanie plików konfiguracyjnych

• Szyfrowanie multimediów i sygnalizacji

• Wyłącz te ustawienia, jeśli nie są używane: Port PC, PC Voice VLAN Access, Bezpłatny ARP, Web Access, Przycisk Ustawienia, SSH, konsola

Implementacja mechanizmów bezpieczeństwa w Dedykowanej Instancji zapobiega kradzieży tożsamości telefonów i serwera Unified CM, manipulowaniu danymi oraz sygnalizacji połączeń / manipulowaniu strumieniem multimediów.

Dedykowana instancja przez sieć:

• Ustanawia i utrzymuje uwierzytelnione strumienie komunikacji

• Cyfrowe podpisywanie plików przed przesłaniem pliku do telefonu

• Szyfruje strumienie multimediów i sygnalizację połączeń między telefonami IP Cisco Unified

Bezpieczne aplikacje UC

Zabezpieczanie komunikacji między Cisco Unified CM i CUBE

Aby zapewnić bezpieczną komunikację między Cisco Unified CM i CUBE, partnerzy/klienci muszą używać certyfikatów z podpisem własnym lub certyfikatów podpisanych przez urząd certyfikacji.

W przypadku certyfikatów z podpisem własnym:

1. CUBE i Cisco Unified CM generują certyfikaty z podpisem własnym

2. CUBE eksportuje certyfikat do Cisco Unified CM

3. Cisco Unified CM eksportuje certyfikat do modułu CUBE

W przypadku certyfikatów podpisanych przez urząd certyfikacji:

1. Klient generuje parę kluczy i wysyła żądanie podpisania certyfikatu (CSR) do urzędu certyfikacji (CA)

2. Urząd certyfikacji podpisuje go swoim kluczem prywatnym, tworząc certyfikat tożsamości

3. Klient instaluje listę zaufanych certyfikatów głównych i pośredniczących urzędów certyfikacji oraz certyfikat tożsamości

Podsumowanie protokołu

W poniższej tabeli przedstawiono protokoły i skojarzone usługi używane w rozwiązaniu Unified CM.

Aby uzyskać więcej informacji na temat konfiguracji MRA, zobacz: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Zabezpieczanie Jabber i Webex za pomocą SIP OAuth

Klienci Jabber i Webex są uwierzytelniani za pomocą tokenu OAuth zamiast lokalnie istotnego certyfikatu (LSC), który nie wymaga włączenia funkcji proxy urzędu certyfikacji (CAPF) (również dla MRA). SIP OAuth pracujący z trybem mieszanym lub bez niego został wprowadzony w Cisco Unified CM 12.5(1), Jabber 12.5 i Expressway X12.5.

W Cisco Unified CM 12.5 mamy nową opcję w Profilu zabezpieczeń telefonu, która umożliwia szyfrowanie bez LSC/CAPF, przy użyciu pojedynczego protokołu Transport Layer Security (TLS) + OAuth token w SIP REGISTER. Węzły Expressway-C używają interfejsu API Administrative XML Web Service (AXL) do informowania Cisco Unified CM o SN/SAN w swoim certyfikacie. Cisco Unified CM używa tych informacji do sprawdzania poprawności certyfikatu Exp-C podczas ustanawiania wzajemnego połączenia TLS.

SIP OAuth umożliwia szyfrowanie nośników i sygnalizacji bez certyfikatu punktu końcowego (LSC).

Cisco Jabber używa portów efemerycznych i bezpiecznych portów 6971 i 6972 za pośrednictwem połączenia HTTPS z serwerem TFTP do pobierania plików konfiguracyjnych. Port 6970 jest niezabezpieczonym portem do pobrania przez HTTP.

Więcej szczegółów na temat konfiguracji SIP OAuth: TrybSIP OAuth.