Requisitos de rede dos serviços Webex
Histórico de revisões do documento
Este artigo é para administradores de rede, principalmente administradores de firewall e segurança de proxy que desejam usar o Webex Calling nas organizações. O foco principal deste documento são os requisitos de rede do Webex Meetings e Webex Messaging e o documento também fornece links para documentos que descrevem os requisitos de rede do Webex Calling.
Este artigo ajudará você a configurar o acesso à rede para o conjunto de serviços Webex usado por:
Clientes do aplicativo Webex registrados na nuvem para reuniões, mensagens e chamadas
Clientes do aplicativo Webex Meetings Center registrados na nuvem
Dispositivos de vídeo da Cisco registrados na nuvem, Telefones IP Cisco, dispositivos de vídeo Cisco e dispositivos de terceiros que usam SIP para se conectar aos serviços Webex Suite.
Este documento se concentra principalmente nos requisitos de rede dos produtos registrados na nuvem Webex que usam sinalização HTTPS para se comunicar com os serviços Webex Suite, mas também descreve separadamente os requisitos de rede para produtos que usam sinalização SIP para a nuvem Webex. Essas diferenças estão resumidas abaixo:
Todos os aplicativos e dispositivos Webex registrados na nuvem usam HTTPS para se comunicar com os serviços de mensagens e reuniões Webex:
- O aplicativo Webex usa sinalização HTTPS para serviços de mensagens e reuniões Webex. O aplicativo Webex também pode usar o protocolo SIP para entrar em reuniões Webex, mas isso está sujeito ao usuário ser chamado através do endereço SIP ou optar por discar uma URL SIP para entrar em uma reunião (em vez de usar a funcionalidade da reunião nativa no aplicativo Webex).
- Os dispositivos Webex Room registrados na nuvem usam sinalização HTTPS em todos os serviços Webex.
- Os dispositivos Webex registrados no SIP local também poderão usar a sinalização HTTPS se o recurso Webex Edge para dispositivos estiver habilitado. Esse recurso permite que os dispositivos Webex sejam administrados via Webex Control Hub e participem do Webex Meetings usando sinalização HTTPS (para obter detalhes, consulte https://help.webex.com/en-us/cy2l2z/Webex-Edge-for-Devices).
Dispositivos Webex Room, telefones IP Cisco e produtos de terceiros poderão entrar no Webex Meetings usando SIP. Para produtos de controle de chamadas baseados em SIP local, como o Cisco Unified CM, uma sessão SIP é estabelecida por meio de um controlador de borda, como Expressway C & E ou CUBE SBC para chamadas de e para o Webex Cloud.
Para obter detalhes sobre os requisitos de rede específicos do serviço Webex Calling, consulte: https://help.webex.com/en-us/b2exve/Port-Reference-Information-for-Cisco-Webex-Calling
Todos os aplicativos Webex registrados na nuvem e dispositivos Webex Room iniciam apenas conexões de saída. O Webex Cloud da Cisco nunca inicia conexões de saída em aplicativos Webex registrados na nuvem e dispositivos Webex Room, mas pode fazer chamadas de saída nos dispositivos SIP.
Os serviços Webex de reuniões e mensagens são hospedados principalmente em data centers distribuídos globalmente, que são de propriedade da Cisco (por exemplo, data centers Webex para serviços de identidade, serviços de reuniões e servidores de mídia) ou hospedados em uma Cisco Virtual Private Cloud (VPC) na Amazon Plataforma AWS (por exemplo, microsserviços de mensagens Webex, serviços de armazenamento de mensagens e servidores de mídia). Os serviços Webex também residem nos centros de dados do Microsoft Azure para interoperabilidade de vídeo com o Microsoft Teams (VIMT).
Tipos de tráfego:
O aplicativo Webex e os dispositivos Webex Room estabelecem conexões de sinalização e mídia com a nuvem Webex.
Tráfego de sinalização
O aplicativo Webex e os dispositivos de vídeo da Cisco usam HTTP como HTTP sobre TLS (HTTPS) e Secure Web Sockets (WSS) sobre TLS para sinalização baseada em REST para a nuvem Webex. As conexões de sinalização são apenas de saída e usam URLs para estabelecimento de sessão com os serviços Webex.
As conexões de sinalização TLS aos serviços Webex usam TLS versão 1.2 ou 1.3. A seleção de codificação é baseada na preferência TLS do servidor Webex.
Usando o TLS 1.2 ou 1.3, o Webex prefere pacotes de codificações usando:
- ECDHE para negociação de chaves
- Certificados baseados em RSA (tamanho da chave de 3072 bits)
- Autenticação SHA2 (SHA384 ou SHA256)
- Cifras de criptografia fortes usando 128 ou 256 bits (por exemplo, AES_256_GCM)
O Webex suporta pacotes de codificação na seguinte ordem de preferência para conexões TLS versão 1.2*:
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
Nota - A criptografia do modo CBC é compatível com navegadores mais antigos sem criptografia do modo GCM mais segura.
O Webex suporta pacotes de codificação na seguinte ordem de preferência para conexões TLS versão 1.3*:
TLS_AES_256_GCM_SHA384
TLS_CHACHA_POLY1305_SHA256
TLS_AES_128_GCM_SHA256
Nota – Com o TLS 1.3, a negociação de chave ECDHE e os certificados baseados em RSA são uma parte obrigatória da especificação e esse detalhe é, portanto, omitido na descrição do conjunto de cifras.
*Os conjuntos de codificação e a ordem de preferência do conjunto de codificação podem variar para alguns serviços Webex
Estabelecer conexões de sinalização com os serviços Webex usando URLs
Se você implantou proxies ou firewalls para filtrar o tráfego que sai da sua rede corporativa, a lista de URLs de destino que precisam ter permissão para acessar o serviço Webex pode ser encontrada na seção de "Domínios e URLs que precisam ser acessados para serviços Webex".
A Webex recomenda fortemente que você não altere ou exclua valores de cabeçalho HTTP conforme eles passam pelo proxy/firewall, a menos que permitido nestas diretrizes https://www.w3.org/TR/ct-guidelines/#sec-altering-header-values . A modificação ou exclusão de cabeçalhos HTTP fora dessas diretrizes pode afetar o acesso aos serviços Webex, incluindo a perda de acesso aos serviços Webex por aplicativos Webex e dispositivos de vídeo da Cisco.
A filtragem do tráfego de sinalização Webex por endereço IP não é compatível, pois os endereços IP usados pelo Webex são dinâmicos e podem ser alterados a qualquer momento.
Tráfego de mídia
O aplicativo Webex e os dispositivos Webex Room criptografam mídia em tempo real nos fluxos de compartilhamento de áudio, vídeo e conteúdo usando as seguintes cifras de criptografia:
- Cifra AES-256-GCM
- Cifra AES-CM-128-HMAC-SHA1-80
AES-256-GCM é a cifra de criptografia preferida pelo aplicativo Webex e dispositivos de vídeo da Cisco para criptografar mídia em tempo real.
AES-CM-128-HMAC-SHA1 é uma cifra madura que comprovou a interoperabilidade entre os fornecedores. AES-CM-128-HMAC-SHA1 é usado para criptografar mídia de serviços Webex usando SRTP ou SRTP com sinalização SIP (por exemplo, dispositivos SIP Cisco e de terceiros).
Em ordem de preferência, os aplicativos Webex e os dispositivos de vídeo da Cisco suportam UDP, TCP e TLS como protocolos de transporte de mídia. Se as portas UDP forem bloqueadas pelo seu firewall, os aplicativos Webex e os dispositivos de vídeo da Cisco retornarão ao TCP. Se as portas TCP estiverem bloqueadas, os aplicativos Webex e os dispositivos de vídeo da Cisco voltarão para o TLS.
UDP – Protocolo de transporte de mídia recomendado pela Cisco Em linha com o RFC 3550 RTP – um protocolo de transporte para aplicativos em tempo real, a Cisco prefere e recomenda o UDP como protocolo de transporte para todos os fluxos de mídia de voz e vídeo Webex.
Desvantagens de usar o TCP como um protocolo de transporte de mídia O aplicativo Webex e os dispositivos Webex Room também oferecem suporte ao TCP como um protocolo de transporte de mídia de fallback.
No entanto, a Cisco não recomenda o TCP como protocolo de transporte para fluxos de mídia de voz e vídeo. Isso ocorre porque o TCP é orientado para conexão e projetado para entregar dados de forma confiável, corretamente ordenados, aos protocolos da camada superior. Usando o TCP, o remetente retransmitirá os pacotes perdidos até que sejam reconhecidos e o receptor armazenará em buffer o fluxo de pacotes até que os pacotes perdidos sejam recuperados. Nos fluxos de mídia, esse comportamento se manifesta como aumento da latência/jitter, o que, por sua vez, afeta a qualidade da mídia experimentada pelos participantes da chamada.
As desvantagens de usar o TLS como um protocolo de transporte de mídia
As conexões TCP criptografadas (TLS) podem sofrer uma nova degradação na qualidade de mídia devido a possíveis problemas no servidor Proxy. Se o TLS for usado como o protocolo de transporte de mídia pelos aplicativos Webex e dispositivos de vídeo da Cisco com um servidor proxy configurado, esse tráfego de mídia será roteado através do servidor proxy, que pode criar gargalos de largura de banda e perda de pacotes subsequente. A Cisco recomenda fortemente que o TLS não seja usado para transportar mídia em ambientes de produção.
A mídia Webex flui em ambas as direções usando um fluxo de saída simétrico de 5 tuplas (endereço IP de origem, endereço IP de destino, porta de origem, porta de destino, protocolo) iniciado internamente na nuvem Webex.
O aplicativo Webex e os dispositivos Webex Room também usam STUN (RFC 5389) para teste de acessibilidade de nó de mídia e passagem de firewall. Para obter mais detalhes, consulte o Documento técnico sobre o Firewall Webex.
Webex – Intervalos de endereços IP de destino para mídia Para acessar os servidores de mídia Webex que processam o tráfego de mídia que sai da sua rede corporativa, você deve permitir que as subredes IP que hospedam esses serviços de mídia sejam acessíveis por meio do firewall corporativo.
Os intervalos de endereços IP de destino do tráfego de mídia enviado aos nós de mídia Webex podem ser encontrados na seção de "Subredes IP de serviços de mídia Webex".
Tráfego Webex por meio de proxies e firewalls
A maioria dos clientes implementa um firewall de internet, ou proxy e firewall de internet, para restringir e controlar o tráfego baseado em HTTP que sai e entra na rede. Siga as orientações de firewall e proxy abaixo para habilitar o acesso aos serviços Webex da sua rede. Se você estiver usando apenas um firewall, note que a filtragem do tráfego de sinalização Webex usando endereços IP não é compatível, pois os endereços IP usados pelos serviços de sinalização Webex são dinâmicos e podem ser alterados a qualquer momento. Se o firewall oferecer suporte à filtragem de URL, configure o firewall para permitir as URLs de destino Webex listadas na seção de "Domínios e URLs que precisam ser acessados para serviços Webex".
A tabela a seguir descreve portas e protocolos que precisam ser abertos em seu firewall para permitir que aplicativos Webex registrados em nuvem e dispositivos se comuniquem com a sinalização do Webex Calling em nuvem e serviços de mídia.
Os aplicativos, dispositivos e serviços Webex abordados nesta tabela incluem:
O aplicativo Webex, dispositivos de vídeo da Cisco, nó da malha de vídeo, nó de segurança de dados híbridos, conector de diretório, conector de calendário, conector de gerenciamento e conector de manutenção.
Para obter orientação sobre portas e protocolos de dispositivos e serviços Webex usando SIP, pode ser encontrado na seção "Requisitos de rede para serviços Webex baseados em SIP".
| Serviços Webex - Números de porta e protocolos | |||
|
Porta de destino |
Protocolo |
Descrição |
Dispositivos que usam esta regra |
| 443 | TLS | Sinalização HTTPS Webex. O estabelecimento de sessão dos serviços Webex é baseado em URLs definidas, em vez de endereços IP. Se você estiver usando um servidor proxy ou seu firewall oferecer suporte à resolução DNS, consulte a seção de "Domínios e URLs que precisam ser acessados para serviços Webex" para permitir o acesso de sinalização aos serviços Webex. | Todos |
| 123 (1) | UDP | Protocolo do tempo de rede (NTP) | Todos |
| 53 (1) | UDP TCP | Sistema de nome de domínio (DNS) Usado para pesquisas de DNS para descobrir os endereços IP dos servidores Webex na nuvem. A maioria das consultas DNS são feitas em UDP; no entanto, as consultas DNS também podem usar TCP. | Todos |
| 5004 e 9000 | SRTP sobre UDP | Compartilhamento de áudio, vídeo e conteúdo criptografado no aplicativo Webex e dispositivos de vídeo da Cisco Para obter uma lista de subredes IP de destino, consulte a seção de "Subredes IP para serviços de mídia Webex". | Aplicativo Webex Dispositivos Cisco Webex Nós da malha de vídeo |
| 50.000 - 53.000 | SRTP sobre UDP | Compartilhamento de áudio, vídeo e conteúdo criptografado – somente Nós de malha de vídeo | Nó de malha de vídeo |
| 5004 | SRTP sobre TCP | O TCP também servirá como um protocolo de transporte de fallback para áudio, vídeo e compartilhamento de conteúdo criptografados se o UDP não puder ser usado. Para obter uma lista de subredes IP de destino, consulte a seção de "Subredes IP para serviços de mídia Webex". | Aplicativo Webex Dispositivos Cisco Webex Nós da malha de vídeo |
| 443 | SRTP sobre TLS | Usado como um protocolo de transporte de fallback para áudio, vídeo e compartilhamento de conteúdo criptografados se o UDP e TCP não puderem ser usados. A mídia sobre TLS não é recomendada em ambientes de produção Para obter uma lista de subredes IP de destino, consulte a seção de "Subredes IP para serviços de mídia Webex". | Aplicativo Webex Dispositivos Cisco Webex |
- Se você estiver usando serviços NTP e DNS em sua rede corporativa, as portas 53 e 123 não precisarão ser abertas por meio do firewall.
O Webex suporta IPv4 e IPv6 para sinalização e serviços de mídia. Para a maioria dos clientes, o suporte ao Webex em IPv4 e IPv6 não deve apresentar problemas. Ainda assim, podem surgir problemas se a Unidade Transmissível Máxima (MTU) da sua rede estiver definida para valores não padrão.
A unidade transmissível máxima (MTU) é o tamanho máximo do pacote IP que pode ser transmitido através de um link de rede sem fragmentação. O IPv6 RFC exige um tamanho mínimo de MTU de 1280 bytes. A maioria dos dispositivos de roteamento e comutação suporta um tamanho MTU máximo padrão de 1500 bytes em todas as interfaces.
O IPv6 adiciona despesas gerais adicionais aos pacotes IP, o que aumenta o tamanho dos pacotes em comparação com o tráfego IPv4. O IPv6 RFC exige um tamanho mínimo de MTU de 1280 bytes.
A Webex recomenda manter o tamanho padrão da unidade de transmissão máxima (MTU) de 1500 bytes para todos os pacotes IP recebidos e enviados em sua rede. Se você precisar reduzir o tamanho da MTU na sua rede, o Webex recomenda reduzir isso para nada menos do que 1300 bytes.
A maioria dos serviços de mídia Webex está em centrais de dados seguros da Cisco.
A Cisco também suporta serviços de mídia Webex nos centros de dados do Microsoft Azure para integração de vídeo com o Microsoft Teams (VIMT). A Microsoft reservou suas subredes IP para uso exclusivo da Cisco, e os serviços de mídia localizados nessas subredes são protegidos nas instâncias de rede virtual do Microsoft Azure. Para obter orientação sobre a implantação do VIMT, consulte https://help.webex.com/en-us/article/nffx8kj/Deploy-the-Webex-video-integration-for-Microsoft-Teams .
Configure seu firewall para permitir o acesso a esses destinos, subredes IP Webex e portas de protocolo de transporte para fluxos de mídia de aplicativos e dispositivos Webex.
Os aplicativos Webex e os dispositivos de vídeo da Cisco suportam UDP, TCP e TLS como protocolos de transporte de mídia. Se as portas UDP forem bloqueadas pelo seu firewall, os aplicativos Webex e os dispositivos de vídeo da Cisco retornarão ao TCP. Se as portas TCP estiverem bloqueadas, os aplicativos Webex e os dispositivos de vídeo da Cisco voltarão para o TLS.
UDP é o protocolo de transporte preferido da Cisco para mídia e é altamente recomendável usar apenas o UDP para transportar mídia. Os aplicativos e dispositivos Webex também oferecem suporte ao TCP e TLS como protocolos de transporte de mídia, mas não são recomendados em ambientes de produção, pois a natureza orientada para conexão desses protocolos pode afetar seriamente a qualidade da mídia em redes com perdas.Nota:
Nota: As subredes IP listadas abaixo são para serviços de mídia Webex. A filtragem do tráfego de sinalização Webex por endereço IP não é compatível, pois os endereços IP usados pelo Webex são dinâmicos e podem ser alterados a qualquer momento. O tráfego de sinalização HTTP para serviços Webex pode ser filtrado por URL/domínio em seu servidor Enterprise Proxy, antes de ser encaminhado para o firewall.
|
Subredes IP para serviços de mídia | ||
| 4.152.214.0/24* | 66.114.160.0/20 | |
| 4.158.208.0/24* | 66.163.32.0/19 | |
| 4.175.120.0/24* | 69.26.160.0/19 | |
| 20.50.235.0/24* | 114.29.192.0/19 | |
| 20.53.87.0/24* | 144.196.0.0/16 | |
| 20.57.87.0/24* | 150.253.128.0/17 | |
| 20.68.154.0/24* | 163.129.0.0/16 | |
| 20.76.127.0/24* | 170.72.0.0/16 | |
| 20.108.99.0/24* | 170.133.128.0/18 | |
| 20.120.238.0/23* | 173.39.224.0/19 | |
| 23.89.0.0/16 | 173.243.0.0/20 | |
| 40.119.234.0/24* | 207.182.160.0/19 | |
| 44.234.52.192/26 | 209.197.192.0/19 | |
| 52.232.210.0/24* | 210.4.192.0/20 | |
| 62.109.192.0/18 | 216.151.128.0/19 | |
| 64.68.96.0/19 | ||
* Data centers do Azure – usados para hospedar serviços de integração de vídeo para Microsoft Teams (também conhecido como Microsoft Cloud Video Interop)
Os aplicativos Webex e os dispositivos Webex Room realizam testes para detectar a acessibilidade e o tempo de ida e volta para um subconjunto de nós em cada cluster de mídia disponível para sua organização. A acessibilidade do nó de mídia é testada nos protocolos de transporte UDP, TCP e TLS e ocorre na inicialização, em uma alteração de rede e periodicamente enquanto o aplicativo ou dispositivo está em execução. Os resultados desses testes são armazenados e enviados para a nuvem Webex antes de entrar em uma reunião ou chamada. A nuvem Webex usa esses resultados do teste de acessibilidade para atribuir ao aplicativo Webex/dispositivo Webex o melhor servidor de mídia para a chamada com base no protocolo de transporte (preferencialmente UDP), tempo de ida e volta e disponibilidade de recursos do servidor de mídia.
A Cisco não oferece suporte nem recomenda a filtragem de um subconjunto de endereços IP com base em uma determinada região geográfica ou provedor de serviços em nuvem. A filtragem por região pode causar séria degradação na experiência da reunião, inclusive a incapacidade de entrar totalmente em reuniões.
Se você configurou seu firewall para permitir o tráfego apenas para um subconjunto das subredes IP acima, ainda poderá ver o tráfego de teste de acessibilidade atravessando sua rede, em uma tentativa de alcançar nós de mídia nessas subredes IP bloqueadas. Os nós de mídia em subredes IP bloqueadas pelo firewall não serão usados por aplicativos Webex e dispositivos Webex Room.
Tráfego de sinalização Webex e configuração de proxy empresarial
A maioria das organizações usa servidores proxy para inspecionar e controlar o tráfego HTTP que sai da rede. Os proxies podem ser usados para executar várias funções de segurança, como permitir ou bloquear o acesso a URLs específicas, autenticação de usuário, pesquisa de reputação de endereço IP/domínio/nome de host/URI e descriptografia e inspeção de tráfego. Os servidores proxy também são comumente usados como o único caminho que pode encaminhar o tráfego destinado à Internet baseado em HTTP para o firewall corporativo, permitindo que o firewall limite o tráfego de saída da Internet para aquele originado apenas dos servidores proxy. Seu servidor proxy deve ser configurado para permitir que o tráfego de sinalização Webex acesse os domínios/URLs listados na seção abaixo:
A Webex recomenda fortemente que você não altere ou exclua valores de cabeçalho HTTP conforme eles passam pelo proxy/firewall, a menos que permitido nestas diretrizes https://www.w3.org/TR/ct-guidelines/#sec-altering-header-values . A modificação ou exclusão de cabeçalhos HTTP fora dessas diretrizes pode afetar o acesso aos serviços Webex, incluindo a perda de acesso aos serviços Webex por aplicativos Webex e dispositivos de vídeo da Cisco.
|
URLs dos serviços Cisco Webex | ||
|
Domínio/URL |
Descrição |
Aplicativos e dispositivos Webex que usam esses domínios/URLs |
| *.webex.com *.cisco.com *.wbx2.com *.ciscospark.com *.webexapis.com | Microsserviços Webex.
| Todos |
| *.webexcontent.com (1) | Armazenamento Webex para o conteúdo gerado pelo usuário e registros, incluindo: Arquivos compartilhados Arquivos transcodificados, Imagens, Captura de tela Conteúdo do quadro de comunicações, Registros de clientes e dispositivos, Fotos do perfil Logotipos de marca, Arquivos de registro Arquivos de exportação e arquivos de importação CSV em massa (Control Hub) | Todos |
|
Serviços adicionais relacionados ao Webex - domínios de propriedade da Cisco | ||
|
URL |
Descrição |
Aplicativos e dispositivos Webex que usam esses domínios/URLs |
| *.accompany.com | Integração do People Insights | Aplicativos Webex |
|
Serviços adicionais relacionados ao Webex – Domínios de terceiros | ||
|
URL |
Descrição |
Aplicativos e dispositivos Webex que usam esses domínios/URLs |
| *.sparkpostmail1.com *.sparkpostmail.com | Serviço de e-mail para boletins informativos, informações de registro, anúncios | Todos |
| *.giphy.com | Permite que os usuários compartilhem imagens GIF. Esse recurso está ativado por padrão, mas pode ser desativado no Control Hub | Aplicativo Webex |
| safebrowsing.googleapis.com | Usado para realizar verificações de segurança em URLs antes de desenvolvê-las no fluxo de mensagens. Esse recurso está ativado por padrão, mas pode ser desativado no Control Hub | Aplicativo Webex |
|
*.walkme.com | Cliente de orientação do usuário Webex. Fornece visitas de integração e uso a novos usuários. Para obter mais informações, consulte https://support.walkme.com/knowledge-base/access-requirements-for-walkme/ | Aplicativos Webex baseados na web |
|
speech.googleapis.com | Serviços de voz do Google. Usado pelo Webex Assistant para lidar com reconhecimento de fala e conversão de texto em fala. Desativado por padrão, é ativado por meio do Control Hub. O Assistente também pode ser desativado por dispositivo. | Webex Room Kit e dispositivos de vídeo da Cisco Os detalhes dos dispositivos de vídeo da Cisco que suportam o Webex Assistant estão documentados aqui: https://help.webex.com/hzd1aj/Enable-Cisco-Webex-Assistant |
| msftncsi.com/ncsi.txt captive.apple.com/hotspot-detect.html | Verificação da conectividade com a Internet por terceiros para identificar casos em que há uma conexão de rede, mas nenhuma conexão com a Internet. O aplicativo Webex executa as próprias verificações de conectividade com a Internet, mas também pode usar essas URLs de terceiros como um fallback. | Aplicativo Webex |
| *.appdynamics.com *.eum-appdynamics.com | Rastreamento de desempenho, captura de erros e falhas, métricas de sessão (3) | Aplicativo Webex Aplicativo da web Webex |
| *.amplitude.com | Testes e métricas A/B (3) | Aplicativo da web Webex Aplicativo Webex para Android |
| *.livestream.webex.com *.vbrickrev.com | Este domínio é usado pelos convidados que visualizam Webcasts do Webex Events | Eventos Webex,Webex Meetings |
| *.slido.com *.sli.do *.data.logentries.com slido-assets-production.s3.eu-west-1.amazonaws.com | Usado no complemento PPT e para permitir que as páginas web criem sondagens/questionários na pré-reunião Usado para exportar perguntas e respostas, resultados de sondagem, etc., do Slido | Todos |
| *.quovadisglobal.com *.digicert.com *.godaddy.com *.identrust.com *.lencr.org | Usado para solicitar listas de revogação de certificados dessas autoridades de certificação Nota - O Webex suporta o grampeamento CRL e OCSP para determinar o status de revogação dos certificados. Com o grampeamento OCSP, os aplicativos e dispositivos Webex não precisam entrar em contato com essas autoridades de certificação | Todos |
| *.intel.com | Usado para solicitar listas de revogação de certificados e verificar o status do certificado com o serviço OCSP da Intel, de certificados enviados com imagens de plano de fundo usadas por aplicativos e dispositivos Webex | Todos |
| *.google.com *.googleapis.com | Notificações aos aplicativos Webex em dispositivos móveis (por exemplo, nova mensagem) Serviço de mensagens em nuvem (FCM) do Google Firebase https://firebase.google.com/docs/cloud-messaging/concept-options#messaging-ports-and-your-firewall Serviço de notificação por push da Apple (APNS) https://support.apple.com/en-us/HT203609 Nota - Para APNS, a Apple lista apenas as subredes IP deste serviço | Aplicativo Webex |
| cdnjs.cloudflare.com cdn.jsdelivr.net static2.sharepointonline.com appsforoffice.microsoft.com | URLs do agendador Webex para Microsoft Outlook adicionadas. Os usuários do Microsoft Outlook podem usar o Agendador Webex para agendar reuniões Webex ou reuniões de Sala Pessoal Webex diretamente do Microsoft Outlook em qualquer navegador. Para obter detalhes, consulte: Clique aqui | Todos |
| Os principais serviços Webex estão sendo preteridos (2) | ||
| URL | Descrição | Aplicativos e dispositivos Webex que usam esses domínios/URLs |
| *.clouddrive.com | Armazenamento Webex para registros e conteúdo gerado pelo usuário O armazenamento de arquivos no clouddrive.com foi substituído pelo webexcontent.com em outubro de 2019 Organizações com longos períodos de retenção de conteúdo gerado pelo usuário ainda podem estar usando cloudrive.com para armazenar arquivos mais antigos | Todos |
| *.ciscosparkcontent.com | Carregamentos de arquivos de registro O serviço de armazenamento de arquivos de log agora usa o domínio *.webexcontent.com | Aplicativo Webex |
| *.rackcdn.com | Rede de entrega de conteúdo (CDN) do domínio *.clouddrive.com | Todos |
Nota adicionada: o Webex Teams usa terceiros para coleta de dados de diagnóstico e solução de problemas; e a coleta de métricas de falha e uso. Os dados que podem ser enviados a esses sites de terceiros são descritos nas folhas de dados de privacidade Webex. Para obter detalhes, consulte o:
- https://trustportal.cisco.com/c/dam/r/ctp/docs/privacydatasheet/collaboration/cisco-webex-meetings-privacy-data-sheet.pdf
- https://trustportal.cisco.com/c/r/ctp/trust-portal.html?doctype=Privacy%20Data%20Sheet|Privacy%20Data%20Map&search_keyword=webex#/1552559092865176
Se você estiver usando um servidor proxy para controlar o acesso aos serviços Webex, não precisará adicionar os domínios CDN à lista de domínios permitidos para serviços Webex (já que a resolução de DNS no CDN CNAME é executada pelo proxy após a filtragem inicial da URL). Se você não estiver usando um servidor proxy (por exemplo, estiver usando apenas um firewall para filtrar URLs), a resolução de DNS será executada pelo sistema operacional do seu aplicativo/dispositivo Webex e você precisará adicionar as seguintes URLs de CDN ao domínio para permitir a lista em seu firewall:
|
URLs de serviços híbridos Cisco Webex | ||
|
URL |
Descrição |
Usado por: |
| *.docker.com (1) *.docker.io (1) *dkr.ecr.us-east-1.amazonaws.com | Contêineres de serviços híbridos | Nó de malha de vídeo Nó de segurança de dados híbridos |
| *s3.amazonaws.com (1) | Carregamentos de arquivos de registro | Nó de malha de vídeo Nó de segurança de dados híbridos |
| *.cloudconnector.webex.com | Sincronização do usuário | Conector de diretório de serviços híbridos |
(1) Planejamos eliminar gradualmente o uso de *.docker.com e *.docker.io de contêineres de serviços híbridos, eventualmente substituindo-os por *.amazonaws.com.Nota:
Nota: Se você usa um proxy Cisco Web Security Appliance (WSA) e deseja atualizar automaticamente as URLs usadas pelos serviços Webex, consulte o documento de configuração dos Serviços Webex do WSA para obter orientação sobre como implantar um Webex External Feed-in AsyncOS no Cisco Web Security.Para visualizar um arquivo CSV contendo a lista de URIs de serviços Webex, consulte:
Para obter um arquivo CSV contendo a lista de URIs de serviços Webex, consulte: Arquivo CSV de serviços Webex
Seu servidor proxy deve ser configurado para permitir que o tráfego de sinalização Webex acesse os domínios/URLs listados na seção anterior. O suporte de recursos adicionais de proxy relevantes para os serviços Webex será discutido abaixo:
Suporte à autenticação de proxy
Os proxies podem ser usados como dispositivos de controle de acesso, bloqueando o acesso a recursos externos até que o usuário/dispositivo forneça credenciais válidas de permissão de acesso ao proxy. Vários métodos de autenticação são suportados por Proxies, como autenticação básica, autenticação Digest (baseada no Windows) NTLM, Kerberos e Negotiate (Kerberos com fallback NTLM).
Para o caso "Sem autenticação" na tabela abaixo, o dispositivo pode ser configurado com um endereço de proxy, mas não suporta autenticação. Quando a autenticação de proxy está sendo usada, as credenciais válidas devem ser configuradas e armazenadas no SO do aplicativo Webex ou do dispositivo de vídeo da Cisco.
Para dispositivos de vídeo da Cisco e o aplicativo Webex, os endereços de proxy podem ser configurados manualmente por meio do SO da plataforma ou da IU do dispositivo ou descobertos automaticamente usando mecanismos como:
Arquivos de descoberta automática de proxy da web (WPAD) e/ou configuração automática de proxy (PAC):
- https://www.cisco.com/c/en/us/td/docs/security/web_security/connector/connector3000/WPADAP.html
- https://www.cisco.com/c/en/us/td/docs/security/web_security/connector/connector2972/PACAP.html
|
Produto |
Tipo de autenticação |
Configuração de proxy |
| Webex para Mac | Sem autenticação, Básico, NTLM (1) | Manual, WPAD, PAC |
| Webex para Windows | Sem autenticação, Básico, NTLM (2), Negotiate | Manual, WPAD, PAC, GPO |
| Webex para iOS | Sem autenticação, Básico, Digest, NTLM | Manual, WPAD, PAC |
| Webex para Android | Sem autenticação, Básico, Digest, NTLM | Manual, PAC |
| Aplicativo da web Webex | Sem autenticação, Básico, Digest, NTLM, Negotiate | Compatível com OS |
| Dispositivos Cisco Webex | Sem autenticação, Básico, Digest | WPAD, PAC ou Manual |
| Nó da malha de vídeo do Webex | Sem autenticação, Básico, Digest, NTLM | Manual |
| Nó de segurança de dados híbridos | Sem autenticação, Básico, Digest | Manual |
| Conector de gerenciamento do host de serviços híbridos | Sem autenticação, Básico | Configuração manual Expressway C: Aplicativos > Serviços híbridos > Proxy do conector |
| Serviços híbridos: Conector de diretório | Sem autenticação, Básico, NTLM | Compatível com Windows OS |
| Serviços híbridos Expressway C: Conector de calendário | Sem autenticação, Básico, NTLM | Configuração manual Expressway C: Aplicativos > híbridos > proxy do conector: senha de Expressway nome de usuário C: Expressway-C Aplicativos > híbridos > conector de calendário > Microsoft Exchange> básico e/ou NTLM |
| Serviços híbridos Expressway C: Conector de chamada | Sem autenticação, Básico | Configuração manual Expressway C: Aplicativos > Serviços híbridos > Proxy do conector |
(1): Autenticação Mac NTLM - A máquina não precisa estar conectada ao domínio, o usuário solicita uma senha(2):
(1): Autenticação Windows NTLM - Suportada apenas se uma máquina estiver conectada ao domínio
Orientação sobre configurações de proxy para Windows OS
O Microsoft Windows suporta duas bibliotecas de rede para tráfego HTTP (WinINet e WinHTTP) que permitem a configuração do Proxy. O WinInet foi projetado apenas para aplicativos cliente de desktop de usuário único; O WinHTTP foi projetado principalmente para aplicativos multiusuáriosbaseados em servidor.
aplicativos baseados em servidor. WinINet é um superconjunto de WinHTTP; ao selecionar entre os dois, você deve usar o WinINet nas suas configurações de proxy. Para obter mais informações, consulte https://docs.microsoft.com/en-us/windows/win32/wininet/wininet-vs-winhttp
Inspeção de proxy e anexação de certificado
O aplicativo Webex e os dispositivos Webex validam os certificados dos servidores com os quais estabelecem sessões TLS. As verificações de certificado, como o emissor do certificado e a assinatura digital, dependem da verificação da cadeia de certificados até o certificado raiz. Para realizar essas verificações de validação, o aplicativo ou o dispositivo usa um conjunto de certificados CA raiz confiáveis instalados no armazenamento confiável do sistema operacional.
Se você tiver implantado um proxy de inspeção de TLS para interceptar, descriptografar e inspecionar o tráfego Webex, certifique-se de que o certificado que o proxy apresenta (em vez do certificado de serviço Webex) foi assinado por uma autoridade de certificação cujo certificado raiz está instalado no armazenamento confiável do seu aplicativo ou dispositivo Webex. No aplicativo Webex, o certificado CA usado para assinar o certificado usado pelo proxy precisa ser instalado no sistema operacional do dispositivo. Para dispositivos de vídeo da Cisco, abra uma solicitação de serviço com o TAC para instalar este certificado CA no software RoomOS.
A tabela abaixo mostra o aplicativo Webex e o suporte ao dispositivo Webex para inspeção TLS por servidores proxy:
|
Produto |
Oferece suporte a CAs confiáveis personalizados para inspeção de TLS |
| Aplicativo Webex (Windows, Mac, iOS, Android, Web) | Sim* |
| Dispositivos Cisco Webex | Sim |
| Malha de vídeo Cisco Webex | Sim |
| Serviço de segurança de dados híbridos | Sim |
| Serviços híbridos – Diretório, calendário, conectores de gerenciamento | Não |
"* Nota - O aplicativo Webex não oferece suporte à descriptografia do servidor proxy e à inspeção de sessões TLS para serviços de mídia Webex Meetings. Se você quiser inspecionar o tráfego enviado aos serviços no domínio webex.com, deverá criar uma isenção de inspeção TLS para o tráfego enviado para *mcs*.webex.com, *cb*.webex.com e *mcc*.webex.com.
Nota - O aplicativo Webex não suporta a extensão SNI para conexões de mídia baseadas em TLS. A falha de conexão com os serviços de áudio e vídeo Webex ocorrerá se um servidor proxy exigir a presença de SNI.
|
Produto |
Compatível com 802.1X |
Notas |
| Aplicativo Webex (Windows, Mac, iOS, Android, Web) | Sim | Compatível com OS |
| Dispositivos Cisco Webex | Sim | EAP-FAST EAP-MD5 EAP-PEAP EAP-TLS EAP-TLS Configurar 802.1X via GUI ou Touch 10 Carregar certificados através da interface HTTP |
| Nó de malha de vídeo | Não | Usar o bypass de endereço MAC |
| Serviço de segurança de dados híbridos | Não | Usar o bypass de endereço MAC |
| Serviços híbridos – Diretório, calendário, conectores de gerenciamento | Não | Usar o bypass de endereço MAC |
A nuvem Webex oferece suporte a chamadas de entrada e saída usando SIP como o protocolo de controle de chamadas do Webex Meetings e de chamadas diretas (1:1) de/para aplicativos Webex registrados na nuvem e dispositivos de vídeo da Cisco.
Chamadas SIP para Webex Meetings
O Webex Meetings permite que os participantes com aplicativos e dispositivos SIP entrem em uma reunião:
- Chamar o SIP URI para a reunião (por exemplo, meetingnumber@webex.com) ou
- A nuvem Webex ligando para o SIP URI especificado do participante (por exemplo, my-device@customer.com)
Chamadas entre aplicativos/dispositivos SIP e a nuvem registraram o aplicativo Webex/dispositivos Webex RoomA nuvem Webex permite que os usuários de aplicativos e dispositivos SIP:
- Sejam chamados por aplicativos Webex registrados na nuvem e dispositivos Webex Room
- Liguem para aplicativos Webex registrados na nuvem e dispositivos Webex Room
Em ambos os casos acima, os aplicativos e dispositivos SIP precisam estabelecer uma sessão de/para a nuvem Webex. O aplicativo ou dispositivo SIP será registrado em um aplicativo de controle de chamada baseado em SIP (como o Unified CM), que normalmente tem uma conexão SIP Trunk com o Expressway C e E que permite chamadas de entrada e saída (pela Internet) para a nuvem Webex. Aplicativos e dispositivos SIP podem ser:
Os aplicativos e dispositivos SIP podem ser:
- O dispositivo Webex Room usando SIP para se registrar no Unified CM
- Os telefones IP Cisco usando SIP para se registrar no Unified CM ou no serviço Webex Calling
- Um aplicativo ou dispositivo SIP de terceiros usando um aplicativo de controle de chamadas SIP de terceiros
Nota * Se um roteador ou firewall SIP for SIP Aware, o que significa que tem o SIP Application Layer Gateway (ALG) ou algo semelhante ativado, recomendamos que você desligue esta funcionalidade para manter a operação correta do serviço. Consulte a documentação relevante do fabricante para obter informações sobre como desativar o SIP ALG em dispositivos específicos
A tabela a seguir descreve as portas e protocolos necessários para acesso aos serviços SIP Webex:
| Portas e protocolos para os serviços SIP Webex | |||
| Porta de origem | Porta de destino | Protocolo | Descrição |
| Portas efêmeras do Expressway | Nuvem Webex 5060 - 5070 | SIP sobre TCP/TLS/MTLS | Sinalização SIP do Expressway E para a nuvem Webex Protocolos de transporte: TCP/TLS/MTLS |
| Portas efêmeras da nuvem Webex | Expressway 5060 - 5070 | SIP sobre TCP/TLS/MTLS | Sinalização SIP da nuvem Webex para o Expressway E Protocolos de transporte: TCP/TLS/MTLS |
| Expressway 36000 a 59999 | Webex em nuvem 49152 - 59999 | RTP/SRTP sobre UDP | Mídia não criptografada/criptografada do Expressway E para a nuvem Webex Protocolo de transporte de mídia: UDP |
| Webex em nuvem 49152 - 59999 | Expressway 36000 a 59999 | RTP/SRTP sobre UDP | Mídia não criptografada/criptografada da nuvem Webex para o Expressway E Protocolo de transporte de mídia: UDP |
A conexão SIP entre o Expressway E e a nuvem Webex suporta sinalização não criptografada usando TCP e sinalização criptografada usando TLS ou MTLS. A sinalização SIP criptografada é preferida, pois os certificados trocados entre o Webex em nuvem e o Expressway E podem ser validados antes de prosseguir com a conexão.
O Expressway é comumente usado para habilitar chamadas SIP para a nuvem Webex e chamadas B2B SIP para outras organizações. Configure seu firewall para permitir:
- Todo o tráfego de sinalização SIP de saída dos nós do Expressway E
- Todo o tráfego de sinalização SIP de entrada para os nós do Expressway E
Se você deseja limitar a sinalização SIP de entrada e saída e o tráfego de mídia relacionado de e para a nuvem Webex. Configure seu firewall para permitir o tráfego para as subredes IP da mídia Webex (consulte a seção de "Subredes IP para serviços de mídia Webex") e as seguintes regiões do AWS: us-east-1, us-east-2, eu-central-1, us-gov-west-2, us-west-2. Os intervalos de endereços IP dessas regiões do AWS podem ser encontrados aqui: https://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html
* Esta página web não é atualizada instantaneamente, pois o AWS faz alterações regulares nos intervalos de endereços IP em suas subredes. Para rastrear dinamicamente as alterações nos intervalos de endereços IP do AWS, a Amazon recomenda assinar o seguinte serviço de notificação: https://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html#subscribe-notifications
A mídia para serviços Webex baseados em SIP usa as mesmas subredes IP de destino para mídia Webex (listadas aqui)
| Protocolo | Números de portas | Direção | Tipo de acesso | Comentários |
| TCP | 5061, 5062 | Entrada | Sinalização SIP | Sinalização SIP de entrada do áudio Webex Edge |
| TCP | 5061, 5065 | Saída | Sinalização SIP | Sinalização SIP de saída do áudio Webex Edge |
| TCP/UDP | Portas efêmeras 8000 - 59999 | Entrada | Portas de mídia | Em um firewall corporativo, os pinholes precisam ser abertos para o tráfego de entrada no Expressway com um intervalo de portas de 8000 a 59999 |
Malha de vídeo Cisco Webex
A malha de vídeo Cisco Webex fornece um serviço de mídia local em sua rede. Em vez de todas as mídias irem para a nuvem Webex, elas podem permanecer na sua rede para reduzir o uso da largura de banda da Internet e aumentar a qualidade da mídia. Para obter detalhes, consulte o Guia de implantação da malha de vídeo Cisco Webex.
Serviço de calendário híbrido
O serviço de Calendário híbrido conecta o Microsoft Exchange, o Office 365 ou o Google Calendar ao Webex, facilitando o agendamento e a entrada em reuniões, especialmente em dispositivos móveis.Para obter detalhes, consulte:
Para obter detalhes, consulte o: Guia de implantação do serviço de calendário híbrido Webex
Serviço de diretório híbrido
O Conector de diretório Cisco é um aplicativo local para sincronização de identidade na nuvem Webex. Ele oferece um processo administrativo simples que estende de forma automática e segura os contatos do diretório corporativo para a nuvem e os mantém sincronizados para precisão e consistência.Para obter detalhes, consulte:
Para obter detalhes, consulte o: Guia de implantação do conector de diretório Cisco
Arquitetura preferida dos serviços híbridos Webex
A arquitetura preferida dos serviços híbridos Cisco Webex descreve a arquitetura híbrida geral, seus componentes e as melhores práticas gerais de design. Consulte: Arquitetura preferida dos serviços híbridos Webex
Se você também estiver implantando os serviços Webex Calling com o Webex Meetings e Mensagens, os requisitos de rede do serviço Webex Calling poderão ser encontrados aqui: https://help.webex.com/b2exve/Port-Reference-Information-for-Cisco-Webex-Calling
Se você também estiver implantando os serviços Webex Calling com o Webex Meetings e Mensagens, os requisitos de rede do serviço Webex Calling poderão ser encontrados aqui: https://help.socio.events/en/articles/4796797-what-domains-emails-should-be-allowlisted-by-my-attendees-network-admins
Para clientes que exigem a lista de intervalos de endereços IP e portas dos serviços Webex FedRAMP
Essas informações podem ser encontradas aqui: https://www.cisco.com/c/dam/en/us/td/docs/voice_ip_comm/cloudCollaboration/WebexforGovernment/FedRAMP_Meetings_Ports_IP_Ranges_Quick_Reference.pdf
