Требования к сети для служб Webex
История редакции документа
Эта статья предназначена для администраторов сети, в частности для администраторов брандмауэра и безопасности прокси, которые хотят использовать службы обмена сообщениями и совещаний Webex в своей организации. Основное внимание в этом документе уделяется сетевым требованиям Webex Meetings и Webex Messaging. В документе также содержатся ссылки на документы, описывающие сетевые требования для Webex Calling.
Эта статья поможет настроить сетевой доступ к пакету служб Webex, используемым:
Зарегистрированные в облаке клиенты приложения Webex для совещаний, обмена сообщениями и вызовов
Клиенты приложения Webex Meetings Centre, зарегистрированные в облаке
Зарегистрированные в облаке видеоустройства Cisco, телефоны Cisco IP, видеоустройства Cisco и сторонние устройства, использующие SIP для подключения к службам Webex Suite.
В этом документе в первую очередь уделяется внимание сетевым требованиям зарегистрированных в облаке продуктов Webex, которые используют протокол HTTPS для обмена сигналами с облачными службами Webex, но также отдельно описаны сетевые требования продуктов, которые используют SIP-сигналы для присоединения к Webex Meetings. Эти различия кратко описаны ниже.
Все зарегистрированные в облаке приложения и устройства Webex используют HTTPS для связи со службами обмена сообщениями Webex и службами совещаний.
- Приложение Webex использует HTTPS для обмена сигналами со службами обмена сообщениями и совещаний Webex. Приложение Webex также может использовать протокол SIP для присоединения к совещаниям Webex, но это зависит от выбранного пользователем способа: через свой SIP-адрес или путем набора URL-адреса SIP-подключения для присоединения к совещанию (вместо использования функций совещаний, встроенных в приложение Webex).
- Зарегистрированные в облаке устройства Webex Room используют протокол HTTPS для обмена сигналами со всеми службами Webex.
- При включенной функции Webex Edge для устройств локально зарегистрированные устройства Webex с протоколом SIP также могут использовать сигналы HTTPS. Эта функция позволяет управлять устройствами Webex с помощью Webex Control Hub и участвовать в совещаниях Webex с помощью передачи сигналов HTTPS (подробности см. в статье https://help.webex.com/en-us/cy2l2z/Webex-Edge-for-Devices).
Устройства Webex Room, IP-телефоны Cisco и сторонние устройства могут присоединиться к Webex Meetings с помощью SIP. Для локальных решений управления вызовами на основе SIP, таких как Cisco Unified CM, для входящих и исходящих вызовов облака Webex SIP-сеанс устанавливается через пограничный контроллер, такой как Expressway C и E или CUBE SBC.
Подробная информация о конкретных сетевых требованиях службы Webex Calling https://help.webex.com/en-us/b2exve/Port-Reference-Information-for-Cisco-Webex-Calling
Все зарегистрированные в облаке приложения Webex и устройства Webex Room инициируют только исходящие соединения. В облаке Webex компании Cisco не инициируются исходящие соединения с зарегистрированных в облаке приложений Webex и устройств Webex Room, при этом в нем могут выполняться исходящие вызовы на устройства SIP.
Службы Webex для совещаний и обмена сообщениями в основном организованы в глобальных распределенных центрах обработки данных, которые принадлежат Cisco (например, центры обработки данных Webex для служб удостоверений, службы совещаний и серверов мультимедиа) либо находятся в виртуальном частном облаке Cisco (VPC) на платформе Amazon AWS (например, в микрослужбах обмена сообщениями Webex, службах хранения сообщений и медиасерверах). Службы Webex также находятся в центрах обработки данных Microsoft Azure для взаимодействия видео с Microsoft Teams (VIMT).
Типы трафика
Приложение Webex и устройства Webex Room устанавливают сигнальные соединения и соединения мультимедиа с облаком Webex.
Сигнальный трафик
Приложение Webex и видеоустройства Cisco используют протокол HTTP в качестве протокола HTTP по протоколу TLS (HTTPS) и безопасные веб-сокеты (WSS) по протоколу TLS для передачи сигналов в облако Webex на основе REST. Сигнальные соединения бывают только исходящими. В них используются URL-адреса для установления сеансов связи со службами Webex.
Для подключения передачи сигналов TLS к службам Webex используется протокол TLS версии 1.2 или 1.3. Выбор шифра основывается на предпочтительных параметрах TLS сервера Webex.
Используя TLS 1.2 или 1.3, Webex предпочитает наборы шифров, используя:
- ECDHE для ключевых переговоров
- Сертификаты на основе RSA (размер ключа 3072 бит)
- аутентификация SHA2 (SHA384 или SHA256)
- Мощные шифры шифрования с использованием 128 или 256 бит (например, AES_256_GCM)
Webex поддерживает наборы шифров в следующем порядке предпочтительных параметров для соединений TLS версии 1.2*:
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
Примечание. Шифрование в режиме CBC поддерживается для старых браузеров без более безопасного шифрования в режиме GCM.
Webex поддерживает наборы шифров в следующем порядке предпочтительных параметров для соединений TLS версии 1.3*:
TLS_AES_256_GCM_SHA384
TLS_CHACHA_POLY1305_SHA256
TLS_AES_128_GCM_SHA256
Примечание. В TLS 1.3 согласование ключей ECDHE и сертификаты на основе RSA являются обязательной частью спецификации, поэтому эта деталь не указана в описании пакета шифров.
* Порядок предпочтительных параметров наборов шифров и наборов шифров для некоторых служб Webex может отличаться
Установление сигнальных соединений со службами Webex с помощью URL-адресов
При развертывании прокси или брандмауэров для фильтрации трафика, выходящих из корпоративной сети, список URL-адресов назначения, которым должен быть разрешен доступ к службе Webex, можно найти в разделе Домены и URL-адреса, которые должны быть доступны для служб Webex.
Webex настоятельно рекомендует не изменять или удалять значения заголовков HTTP по мере их прохождения через ваш прокси/ брандмауэр, если это не разрешено в этих рекомендациях https://www.w3.org/TR/ct-guidelines/#sec-altering-header-values. Изменение или удаление заголовков HTTP за пределами этих руководящих принципов может повлиять на доступ к службам Webex, включая потерю доступа к службам Webex приложениями Webex и видеоустройствами Cisco.
Фильтрация сигнального трафика Webex с помощью IP-адресов не поддерживается, поскольку в Webex используются динамические IP-адреса, которые могут измениться в любой момент.
Медиатрафик
Приложение Webex и устройства Webex Room в реальном времени шифруют потоки аудио, видео и трафик совместного доступа к контенту с помощью следующих шифров:
- Шифр AES-256-GCM
- Шифр AES-CM-128-HMAC-SHA1-80
AES-256-GCM является предпочтительным шифром шифрования приложения Webex и видеоустройств Cisco для шифрования мультимедиа в режиме реального времени.
AES-CM-128-HMAC-SHA1 – это зрелый шифр, который доказал взаимодействие между поставщиками. AES-CM-128-HMAC-SHA1 используется для шифрования мультимедиа, передаваемых службам Webex по протоколу SRTP или SRTP с помощью сигналов SIP (например, устройств SIP компании Cisco и сторонних разработчиков).
В порядке предпочтительных параметров приложения Webex и видеоустройства Cisco поддерживают протоколы UDP, TCP и TLS в качестве протоколов передачи мультимедиа. Если порты UDP заблокированы брандмауэром, приложения Webex и видеоустройства Cisco вернутся в TCP. Если порты TCP заблокированы, приложения Webex и видеоустройства Cisco вернутся в TLS.
UDP — протокол передачи мультимедиа, рекомендованный Cisco В соответствии с RFC 3550 «RTP: A Transport Protocol for Real-Time Applications» компания Cisco предпочитает и настоятельно рекомендует UDP в качестве протокола передачи всех потоков мультимедиа (голосовые данные и видео) Webex.
Недостатки использования TCP в качестве протокола передачи мультимедиа Приложение Webex и устройства Webex Room также поддерживают TCP в качестве резервного протокола передачи мультимедиа.
Однако компания Cisco не рекомендует использовать протокол TCP в качестве транспортного протокола для передачи потоков мультимедиа (голосовые данные и видео). Это связано с тем, что протокол TCP ориентирован на соединения и предназначен для надежной доставки правильно упорядоченных данных протоколам верхнего уровня. При использовании TCP отправитель повторно передает потерянные пакеты, пока они не будут подтверждены, а на стороне получателя поток пакетов помещается в буфер, пока потерянные пакеты не будут восстановлены. Для потоков мультимедиа такой подход проявляется в увеличении задержки/джиттера, что, в свою очередь, влияет на качество мультимедиа, воспринимаемого участниками вызова.
Недостатки использования TLS в качестве протокола передачи мультимедиа
Зашифрованные соединения TCP (TLS) могут иметь дальнейшее ухудшение качества мультимедиа из-за потенциальных узких мест прокси-сервера. Если TLS используется в качестве протокола передачи мультимедиа приложениями Webex и видеоустройствами Cisco с настроенным прокси-сервером, этот мультимедийный трафик будет маршрутизирован через прокси-сервер, что может создать узкие места в пропускной способности и привести к потере пакетов. Cisco настоятельно рекомендует не использовать TLS для транспортировки мультимедиа в производственных средах.
Мультимедиа Webex передается в обоих направлениях, используя симметричный, инициируемый внутри, 5-компонентный (IP-адрес источника, IP-адрес назначения, порт источника, порт назначения, протокол) исходящий поток к Webex Cloud.
Приложение Webex и устройства Webex Room также используют STUN (RFC 5389) для обхода брандмауэра и тестирования доступности узла мультимедиа. Дополнительную информацию см. в техническом документе, посвященном брандмауэру Webex.
Webex – диапазон IP-адресов назначения для мультимедиа Для связи с медиасерверами Webex, которые обрабатывают медиатрафик, выходя из корпоративной сети, необходимо разрешить доступ к IP-подсетям, в которых эти службы мультимедиа будут недоступны через корпоративный брандмауэр.
Диапазон IP-адресов назначения для медиатрафика, отправленного на узлы мультимедиа Webex, можно найти в разделе IP-подсети для медиаслужб Webex.
Трафик Webex через прокси-серверы и брандмауэры
Большинство клиентов развертывают веб-брандмауэр или прокси-сервер и брандмауэр Интернета, чтобы ограничивать и управлять входящим и исходящим HTTP-трафиком. При включении доступа к службам Webex из своей сети следуйте рекомендациям относительно брандмауэра и прокси-сервера, приведенным ниже. Если используется только брандмауэр, обратите внимание, что фильтрация сигнального трафика Webex с использованием IP-адресов не поддерживается, поскольку это динамические IP-адреса, которые могут измениться в любой момент. Если ваш брандмауэр поддерживает фильтрацию URL-адресов, настройте его таким образом, чтобы разрешить URL-адреса назначения Webex, приведенные в разделе Домены и URL-адреса, которые должны быть доступны для служб Webex.
В таблице ниже описаны порты и протоколы, которые должны быть открыты в брандмауэре, чтобы разрешить зарегистрированным в облаке приложениям Webex и устройствам взаимодействовать со службами сигнализации и мультимедиа в Webex Cloud.
В этой таблице рассмотрены следующие приложения, устройства и службы Webex:
приложение Webex, устройства Webex Room, узел сети Video Mesh, узел безопасности данных гибридного типа, Directory Connector, Calendar Connector, Management Connector, Serviceability Connector.
Рекомендации по портам и протоколам для устройств и служб Webex, использующих SIP, можно найти в разделе "Требования к сети для служб Webex на основе SIP".
| Службы Webex — номера портов и протоколы | |||
|
Порт назначения |
Protocol |
Описание |
Устройства, использующие это правило |
| 443 | TLS | Обмен сигналами в Webex по протоколу HTTPS Установление сеанса связи со службами Webex основано на определенных URL-адресах, а не на IP-адресах. Если используется прокси-сервер или если брандмауэр поддерживает разрешение DNS, см. раздел Домены и URL-адреса, которые должны быть доступны для служб Webex, чтобы разрешить службам Webex доступ к передаче сигналов. | Все |
| 123 (1) | UDP | Протокол сетевого времени (NTP) | Все |
| 53 (1) | UDP TCP | Службы доменных имен (DNS) Используется для поиска DNS с целью обнаружения IP-адресов служб Webex в облаке. Выполнение большинства запросов DNS осуществляется по протоколу UDP, однако для этой цели также может использоваться TCP. | Все |
| 5004 и 9000 | SRTP по UDP | Зашифрованный совместный доступ к аудио, видео и контенту в приложении Webex и видеоустройствах Cisco Список IP-подсетей назначения можно найти в разделе IP-подсети для служб мультимедиа Webex. | Приложение Webex Устройства Cisco Webex Узлы сетки видео |
| 50 000–53 000 | SRTP по UDP | Совместный доступ к зашифрованному аудио, видео и контенту: только узел сетки видео | Узел сетки видео |
| 5004 | SRTP по TCP | TCP также используется в качестве резервного транспортного протокола для передачи зашифрованных аудио-, видеоданных и совместного доступа к контенту, если невозможно использовать UDP. Список IP-подсетей назначения можно найти в разделе IP-подсети для служб мультимедиа Webex. | Приложение Webex Устройства Cisco Webex Узлы сетки видео |
| 443 | SRTP по TLS | Используется в качестве транспортного протокола для передачи зашифрованных аудио-, видеоданных и совместного доступа к содержимому, если нельзя использовать UDP и TCP. Передача мультимедиа через TLS не рекомендуется в производственных средах Список IP-подсетей назначения можно найти в разделе IP-подсети для служб мультимедиа Webex. | Приложение Webex Устройства Cisco Webex |
- Если службы NTP и DNS используются в корпоративной сети, то в брандмауэре не нужно открывать порты 53 и 123.
Webex поддерживает IPv4 и IPv6 для служб передачи сигналов и мультимедиа. Для большинства клиентов поддержка Webex через IPv4 и IPv6 не должна вызывать проблем. Тем не менее, могут возникнуть проблемы, если для максимального передаваемого единицы (MTU) вашей сети установлено значение, отличное от значений по умолчанию.
Максимальная передаваемая единица (MTU) — это максимальный размер IP-пакета, который может передаваться по сетевой ссылке без фрагментации. RFC IPv6 требует минимального размера MTU в 1280 байт. Большинство устройств маршрутизации и коммутации поддерживают максимальный размер MTU по умолчанию в 1500 байт на всех интерфейсах.
IPv6 добавляет дополнительные накладные расходы к IP-пакетам, что увеличивает размер пакетов по сравнению с трафиком IPv4. RFC IPv6 требует минимального размера MTU в 1280 байт.
Webex рекомендует сохранить максимальный размер блока передачи (MTU) по умолчанию в 1500 байт для всех IP-пакетов, полученных и отправленных в сети. Если необходимо уменьшить размер MTU в сети, Webex рекомендуется уменьшить его до не менее 1300 байт.
Большинство служб мультимедиа Webex расположены в безопасных центрах обработки данных Cisco.
Cisco также поддерживает службы мультимедиа Webex в центрах обработки данных Microsoft Azure для интеграции видео с Microsoft Teams (VIMT). Microsoft зарезервировала свои IP-подсети для использования исключительно компанией Cisco, а службы мультимедиа, расположенные в этих подсетях, защищены в экземплярах виртуальной сети Microsoft Azure. Инструкции по развертыванию VIMT см. в статье https://help.webex.com/en-us/article/nffx8kj/Deploy-the-Webex-video-integration-for-Microsoft-Teams.
Настройте в брандмауэре разрешение доступа к IP-подсетям Webex назначения и портам транспортного протокола для потоков мультимедиа из приложений и устройств Webex.
Приложения Webex и видеоустройства Cisco поддерживают UDP, TCP и TLS в качестве протоколов передачи мультимедиа. Если порты UDP заблокированы брандмауэром, приложения Webex и видеоустройства Cisco вернутся в TCP. Если порты TCP заблокированы, приложения Webex и видеоустройства Cisco вернутся в TLS.
UDP — предпочтительный транспортный протоколом Cisco для передачи мультимедиа и мы настоятельно рекомендуем использовать для передачи мультимедиа только UDP. Приложения и устройства Webex также поддерживают TCP и TLS в качестве транспортных протоколов для передачи мультимедиа, однако их не рекомендуется использовать в производственной среде, так как ориентированность этих протоколов на соединение может значительно повлиять на качество мультимедиа в сетях с потерями данных.
Примечание. Приведенные ниже IP-подсети предназначены для служб мультимедиа Webex. Фильтрация сигнального трафика Webex с помощью IP-адресов не поддерживается, поскольку в Webex используются динамические IP-адреса, которые могут измениться в любой момент. Сигнальный трафик протокола HTTP в службах Webex можно отфильтровать по URL или домену на корпоративном прокси-сервере до передачи трафика в брандмауэр.
|
IP-подсети для служб мультимедиа | ||
| 4.152.214.0/24 * | 66.114.160.0/20 | |
| 4.158.208.0/24 * | 66.163.32.0/19 | |
| 4.175.120.0/24 * | 69.26.160.0/19 | |
| 20.50.235.0/24* | 114.29.192.0/19 | |
| 20.53.87.0/24* | 144.196.0.0/16 | |
| 20.57.87.0/24* | 150.253.128.0/17 | |
| 20.68.154.0/24* | 163.129.0.0/16 | |
| 20.76.127.0/24* | 170.72.0.0/16 | |
| 20.108.99.0/24* | 170.133.128.0/18 | |
| 20.120.238.0/23* | 173.39.224.0/19 | |
| 23.89.0.0/16 | 173.243.0.0/20 | |
| 40.119.234.0/24* | 207.182.160.0/19 | |
| 44.234.52.192/26 | 209.197.192.0/19 | |
| 52.232.210.0/24* | 210.4.192.0/20 | |
| 62.109.192.0/18 | 216.151.128.0/19 | |
| 64.68.96.0/19 | ||
* Центры обработки данных Azure – используются для организации интеграции видео для служб Microsoft Teams (или Microsoft Cloud Video Interop)
В приложениях Webex и на устройствах Webex Room выполняются тесты с целью обнаружения доступности и времени двусторонней передачи сигнала для подмножества узлов в каждом кластере мультимедиа, доступном для вашей организации. Доступность узла мультимедиа протестирована по транспортным протоколам UDP, TCP и TLS и происходит при запуске, изменении сети и периодически во время работы приложения или устройства. Результаты этих тестов сохраняются и отправляются в облако Webex перед присоединением к совещанию или вызову. В Webex Cloud эти результаты тестирования доступности используют для назначения устройству или приложению Webex наилучшего для вызова сервера мультимедиа на основе транспортного протокола (UDP — предпочтительный протокол), времени прохождения сигнала в прямом и обратном направлениях и доступности ресурсов сервера мультимедиа.
Cisco не поддерживает и не рекомендует фильтрацию подмножества IP-адресов на основе определенного географического региона или поставщика облачных услуг. Фильтрация по региону может вызвать серьезные ухудшения удобства использования совещаний, включая полную невозможность присоединения к совещанию.
Если в брандмауэре разрешен трафик только к подмножеству указанных выше IP-подсетей, то при попытке доступа к узлам мультимедиа в данных заблокированных IP-подсетях может все равно быть отожмен трафик тестирования доступности, который проходит через вашу сеть. Узлы мультимедиа в IP-подсетях, заблокированных брандмауэром, не будут использоваться приложениями Webex и устройствами Webex Room.
Сигнальный трафик Webex и конфигурация корпоративного прокси-сервера
В большинстве организаций прокси-серверы используются для проверки и контроля трафика HTTP, который выходит из их сети. Прокси-серверы можно использовать для выполнения нескольких функций безопасности, таких как разрешение или блокирование доступа по определенным URL-адресам, аутентификация пользователей, поиск IP-адреса/домена/имени хоста/репутации URI, а также дешифрация и проверка трафика. Прокси-серверы также широко используются в качестве единственного пути переадресации целевого интернет-трафика на основе HTTP на корпоративный брандмауэр. Это позволяет брандмауэру ограничивать исходящий интернет-трафик только тем трафиком, который исходит от прокси-серверов. В вашем прокси-сервере должен быть разрешен доступ сигнального трафика Webex к доменам или URL-адресам, перечисленным в разделе ниже.
Webex настоятельно рекомендует не изменять или удалять значения заголовков HTTP по мере их прохождения через ваш прокси/ брандмауэр, если это не разрешено в этих рекомендациях https://www.w3.org/TR/ct-guidelines/#sec-altering-header-values. Изменение или удаление заголовков HTTP за пределами этих руководящих принципов может повлиять на доступ к службам Webex, включая потерю доступа к службам Webex приложениями Webex и видеоустройствами Cisco.
|
URL-адреса служб Cisco Webex | ||
|
Домен/URL |
Описание |
Приложения и устройства Webex, использующие эти домены/URL-адреса |
| *.webex.com *.cisco.com *.wbx2.com *.ciscospark.com webexapis.com | Микрослужб Webex.
| Все |
| *.webexcontent.com (1) | Хранилище Webex для созданного пользователем контента и журналов, включая: Файлы в совместном доступе перекодированные файлы; Изображения, сайт Снимок экрана Контекст виртуальной доски Журналы клиента и устройства, Изображения профиля. логотипы брендинга; Файлы журнала Массовый экспорт и импорт файлов в формате CSV (Control Hub) | Все |
|
Дополнительные службы, связанные с Webex, — домены компании Cisco | ||
|
URL |
Описание |
Приложения и устройства Webex, использующие эти домены/URL-адреса |
| *.accompany.com | Интеграция функции "Профессиональные профили" | Приложение Webex: |
|
Дополнительные службы, связанные с Webex, — сторонние домены | ||
|
URL |
Описание |
Приложения и устройства Webex, использующие эти домены/URL-адреса |
| *.sparkpostmail1.com *.sparkpostmail.com | услуга электронной почты для новостных бюллетеней, регистрационных данных, объявлений | Все |
| *.giphy.com | Позволяет пользователям обмениваться GIF-изображениями. Эта функция по умолчанию отключена в Control Hub | Приложение Webex |
| safebrowsing.googleapis.com | Используется для проверок безопасности URL-адресов перед их развертыванием в потоке сообщений. Эта функция по умолчанию включена, но ее можно отключить в Control Hub | Приложение Webex |
|
*.walkme.com | Клиент "Руководство пользователя Webex". Предоставляет инструкции по переносу и использованию для новых пользователей Дополнительную информацию см. на странице https://support.walkme.com/knowledge-base/access-requirements-for-walkme/ | Веб-приложения Webex |
|
speech.googleapis.com | Службы Google Speech. Используется в Webex Assistant для распознавания речи и преобразования текста в речь. Отключено по умолчанию, можно включить через Control Hub. Кроме того, Assistant можно отключить отдельно для каждого устройства. | Webex Room Kit и видеоустройства Cisco Подробные сведения о видеоустройствах Cisco, поддерживающих Webex Assistant, описаны здесь. https://help.webex.com/hzd1aj/Enable-Cisco-Webex-Assistant |
| msftncsi.com/ncsi.txt captive.apple.com/hotspot-detect.html | Сторонняя проверка подключения к Интернету для выявления случаев, когда есть подключение к сети, но нет подключения к Интернету. Приложение Webex выполняет свои собственные проверки подключения к Интернету, но также может использовать эти сторонние URL-адреса в качестве запасного варианта. | Приложение Webex |
| *.appdynamics.com *.eum-appdynamics.com | Отслеживание производительности, регистрация ошибок и сбоев, показатели сеанса (3) | Приложение Webex Веб-приложение Webex |
| *.amplitude.com | A/B тестирование и показатели (3) | Веб-приложение Webex приложение Webex для Android |
| *.livestream.webex.com *.vbrickrev.com | Этот домен используется посетителями, просматривающими веб-трансляции Webex Events. | Webex Events, Webex Meetings |
| *.slido.com *.sli.do *.data.logentries.com slido-assets-production.s3.eu-west-1.amazonaws.com | Используется для надстройки PPT в Slido, и чтобы разрешить веб-страницам Slido создавать опросы/тесты перед совещанием Используется для экспорта вопросов и ответов, результатов опросов и т.д. из Slido | Все |
| *.quovadisglobal.com *.digicert.com *.godaddy.com *.identrust.com *.lencr.org | Используется для запроса списков отзыва сертификатов от этих центров сертификации Примечание. Webex поддерживает как CRL, так и OCSP для определения статуса отзыва сертификатов. При применении ассоциации OCSP приложениям и устройствам Webex не нужно обращаться к этим центрам сертификации. | Все |
| *.intel.com | Используется для запроса списков отзыва сертификатов и проверки состояния сертификатов службы OCSP Intel в случае сертификатов, отправленных с использованием фоновых изображений, которые применяются приложениями и устройствами Webex. | Все |
| *.google.com *.googleapis.com | Уведомления в приложения Webex на мобильных устройствах (например, новое сообщение) служба обмена сообщениями в облаке (FCM) Google Firebase https://firebase.google.com/docs/cloud-messaging/concept-options#messaging-ports-and-your-firewall Apple Push Notification Service (APNS) https://support.apple.com/en-us/HT203609 Примечание. Для APNS Apple перечисляет только IP-подсети для этой службы | Приложение Webex |
| cdnjs.cloudflare.com cdn.jsdelivr.net static2.sharepointonline.com appsforoffice.microsoft.com | Добавлены URL-адреса для планировщика Webex для Microsoft Outlook. Пользователи Microsoft 365 могут планировать совещания Webex или совещания в персональной комнате Webex с помощью планировщика Webex непосредственно в Microsoft Outlook в любом браузере. Дополнительные сведения: Щелкните здесь | Все |
| Основные службы Webex устарели (2) | ||
| URL | Описание | Приложения и устройства Webex, использующие эти домены/URL-адреса |
| *.clouddrive.com | Хранилище Webex для созданного пользователем контента и журналов Хранилище файлов на clouddrive.com было заменено на webexcontent.com в октябре 2019 г. Организации с длительными периодами хранения контента, созданного пользователями, по-прежнему могут использовать cloudrive.com для хранения старых файлов | Все |
| *.ciscosparkcontent.com | Загрузка файлов журнала Служба хранения файлов журнала теперь использует домен *.webexcontent.com | Приложение Webex |
| *.rackcdn.com | Сеть доставки содержимого (CDN) для домена *.clouddrive.com. | Все |
(3) В Webex используются сторонние ресурсы для сбора данных диагностики и устранения неполадок; и коллекция показателей сбоев и использования. Данные, которые могут быть отправлены таким сторонним сайтам, описаны в таблицах данных о конфиденциальности Webex. Дополнительные сведения см. в статье:
- https://trustportal.cisco.com/c/dam/r/ctp/docs/privacydatasheet/collaboration/cisco-webex-meetings-privacy-data-sheet.pdf
- https://trustportal.cisco.com/c/r/ctp/trust-portal.html?doctype=Privacy%20Data%20Sheet|Privacy%20Data%20Map&search_keyword=webex#/1552559092865176
При использовании прокси-сервера для управления доступом к службам Webex нет необходимости добавлять домены CDN в список разрешенных доменов для служб Webex (поскольку разрешение DNS в CDN CNAME выполняется вашим прокси после первоначальной фильтрации URL-адреса). Если прокси-сервер не используется (например, для фильтрации URL-адресов используется только брандмауэр), разрешение DNS выполняет ОС вашего приложения или устройства Webex. В этом случае необходимо добавить в список разрешенных доменов в брандмауэре следующие URL-адреса CDN:
|
URL-адреса гибридных служб Cisco Webex | ||
|
URL |
Описание |
Используется: |
| *.docker.com (1) *.docker.io (1) *dkr.ecr.us-east-1.amazonaws.com | Контейнеры служб гибридного типа | Узел сетки видео Узел безопасности данных гибридного типа |
| *s3.amazonaws.com (1) | Загрузка файлов журнала | Узел сетки видео Узел безопасности данных гибридного типа |
| *.cloudconnector.webex.com | Синхронизация пользователей | Гибридные службы: Directory Connector |
(1) Планируется поэтапное прекращение использования доменов *.docker.com и *.docker.io в качестве контейнеров служб гибридного типа и последовательная их замена на *amazonaws.com.Примечание.
Примечание. Если используется прокси-сервер Cisco Web Security Appliance (WSA) и необходимо автоматически обновлять URL-адреса, используемые службами Webex, обратитесь к документу Конфигурация служб Webex WSA за инструкциями по развертыванию внешнего канала Webex в AsyncOS для Cisco Web Security.
CSV-файл со списком URI-адресов служб Webex CSV-файл служб Webex
В вашем прокси-сервере должен быть разрешен доступ сигнального трафика Webex к доменам или URL-адресам, перечисленным в предыдущем разделе. Ниже рассматривается поддержка дополнительных функций прокси, относящихся к службам Webex.
Поддержка аутентификации прокси
Прокси-серверы можно использовать в качестве устройств управления доступом для блокировки доступа к внешним ресурсам, пока пользователь/устройство не укажут действительные учетные данные для доступа к прокси-серверу. Прокси-серверы поддерживают несколько способов аутентификации таких как базовая аутентификация, дайджест-аутентификация, NTLM (на основе Windows), Kerberos и Negotiate (Kerberos с NTLM в качестве резервного варианта).
Для случая «Без аутентификации» в таблице ниже в устройстве можно настроить адрес прокси-сервера, но оно не поддерживает аутентификацию. Когда используется аутентификация прокси, действительные учетные данные необходимо настроить и сохранить в ОС приложения Webex или устройства Webex Room.
Для устройств Webex Room и приложения Webex адреса прокси-сервера можно настроить вручную с помощью ОС платформы или пользовательского интерфейса устройства или автоматически обнаруживать с помощью таких механизмов, как
Файлы Web Proxy Auto Discovery (WPAD) и/или Proxy Auto Config (PAC):
- https://www.cisco.com/c/en/us/td/docs/security/web_security/connector/connector3000/WPADAP.html
- https://www.cisco.com/c/en/us/td/docs/security/web_security/connector/connector2972/PACAP.html
|
Продукт |
Тип аутентификации |
Конфигурация прокси-сервера |
| Webex для Mac | Без аутентификации, базовая, NTLM (1) | Вручную, WPAD, PAC |
| Webex для Windows | Без аутентификации, базовая, дайджест, NTLM (2), Negotiate | Вручную, WPAD, PAC, GPO |
| Webex для iOS | Без аутентификации, базовая, дайджест, NTLM | Вручную, WPAD, PAC |
| Webex для Android | Без аутентификации, базовая, дайджест, NTLM | Вручную, PAC |
| Веб-приложение Webex | Без аутентификации, базовая, дайджест, NTLM, Negotiate | Поддерживается посредством ОС |
| Устройства Cisco Webex | Без аутентификации, базовая, дайджест | WPAD, PAC или вручную |
| Узел сетки видео Webex | Без аутентификации, базовая, дайджест, NTLM | Руководство |
| Узел безопасности данных гибридного типа | Без аутентификации, базовая, дайджест | Руководство |
| Гибридные службы: Host Management Connector | Без аутентификации, базовая | Настройка Expressway C вручную: Приложения > Гибридные службы > Прокси блока соединения |
| Гибридные службы: соединитель каталогов | Без аутентификации, базовая, NTLM | Поддержка средствами ОС Windows |
| Гибридные службы Expressway C: Calendar connector | Без аутентификации, базовая, NTLM | Настройка Expressway C вручную: Приложения > Гибридные службы > Прокси блока соединителя: имя пользователя/пароль Expressway C: Expressway-C Приложения > Гибридные службы > Calendar Connector > Microsoft Exchange > Basic и/или NTLM |
| Гибридные службы Expressway C: Call Connector | Без аутентификации, базовая | Настройка Expressway C вручную: Приложения > Гибридные службы > Прокси блока соединения |
(1): аутентификация NTLM для Mac – регистрация компьютера в домене не требуется, у пользователя запрашивается пароль.(2):
(1): аутентификация NTLM для Windows поддерживается, только если компьютер зарегистрирован в домене.
Руководство по настройкам прокси для ОС Windows
Microsoft Windows поддерживает две сетевые библиотеки для трафика HTTP (WinINet и WinHTTP), которые позволяют конфигурацию прокси. Библиотека WinInet предусмотрена для настольных клиентских приложений, предназначенных только для одного пользователя; WinHTTP предусмотрена в основном для серверных приложений, предназначенных для нескольких пользователей.
серверные приложения. WinINet – это расширенный набор WinHTTP. При выборе из этих двух параметров для настройки конфигурации прокси необходимо использовать WinINet. Дополнительную информацию см. в статье https://docs.microsoft.com/en-us/windows/win32/wininet/wininet-vs-winhttp
Проверка и привязка сертификата прокси-сервера
Приложение Webex и устройства Webex проверяют сертификаты серверов, с которыми они устанавливают TLS-сеансы. Проверки сертификатов, например: издатель сертификата и цифровая подпись, основываются на проверке цепочки сертификатов до корневого сертификата. Для выполнения таких проверок приложение или устройство использует набор доверенных корневых сертификатов ЦС, установленных в хранилище доверия операционной системы.
Если для перехвата, расшифровки и проверки трафика Webex развернут TLS-инспектирующий прокси-сервер, убедитесь, что сертификат, представленный прокси-сервером (вместо сертификата служба Webex), был подписан центром сертификации, чей корневой сертификат установлен в хранилище доверия вашего приложения Webex или устройства Webex. Для приложения Webex сертификат ЦС, который используется для подписи сертификата, используемого прокси-сервером, должен быть установлен в операционной системе устройства. Для устройств Webex Room откройте запрос службы в TAC для установки такого сертификата ЦС в программное обеспечение RoomOS.
В таблице ниже приведена поддержка приложений Webex и устройств Webex для TLS-проверки прокси-серверами.
|
Продукт |
Поддерживает пользовательские доверенные ЦС для TLS-проверки |
| Приложение Webex (Windows, Mac, iOS, Android, Web) | Да* |
| Устройства Cisco Webex | Да |
| сетка видео Cisco Webex | Да |
| Служба безопасности данных гибридного типа | Да |
| Гибридные службы — соединители каталогов, календаря и управления | Нет |
* Примечание. Приложение Webex не поддерживает расшифровку и проверку сеансов TLS прокси-сервера для мультимедийных служб Webex Meetings. Чтобы проверить трафик, отправляемый службам в домене webex.com, необходимо создать исключение для проверки TLS для трафика, отправляемого по адресам *mcs*.webex.com, *cb*.webex.com и *mcc*.webex.com.
Примечание. Приложение Webex не поддерживает расширение SNI для соединений мультимедиа на основе TLS. Если прокси-сервер требует наличия SNI, то произойдет сбой подключения к службам аудио и видео Webex.
|
Продукт |
Поддерживает 802.1X |
Примечания |
| Приложение Webex (Windows, Mac, iOS, Android, Web) | Да | Поддерживается посредством ОС |
| Устройства Cisco Webex | Да | EAP-FAST EAP-MD5 EAP-PEAP EAP-TLS EAP-TLS Настройка 802.1X с помощью графического интерфейса пользователя или Touch 10 Загрузка сертификатов через интерфейс HTTP |
| Узел сетки видео | Нет | Использование обхода MAC-адреса |
| Служба безопасности данных гибридного типа | Нет | Использование обхода MAC-адреса |
| Гибридные службы — соединители каталогов, календаря и управления | Нет | Использование обхода MAC-адреса |
Webex Cloud поддерживает входящие и исходящие вызовы с использованием SIP в качестве протокола управления вызовами для Webex Meetings, а также для прямых (1:1) входящих/исходящих вызовов зарегистрированных в облаке приложений Webex и устройств Webex Room.
SIP-вызовы для Webex Meetings Webex Meetings позволяет участникам с приложениями и устройствами SIP присоединяться к совещанию одним из следующих способов:
- Вызов URI-адреса SIP для совещания (например, meetingnumber@webex.com) или
- Webex Cloud вызывает указанный URI-адрес SIP участника (например, my-device@customer.com)
Вызовы между приложениями/устройствами SIP и зарегистрированными в облаке приложениями Webex/устройствами Webex RoomОблако Webex предоставляет пользователям приложений и устройств SIP следующие возможности:
- получение вызова от зарегистрированных в облаке приложений Webex и устройств Webex Room,
- вызов зарегистрированных в облаке приложений Webex и устройств Webex Room.
В обоих случаях выше приложениям и устройствам SIP необходимо установить входящий/исходящий сеанс с Webex Cloud. Приложение или устройство SIP зарегистрируются в приложении управления вызовами на основе SIP (например, Unified CM), как правило, с магистральным SIP-подключением к Expressway C и E, которое позволяет выполнять входящие и исходящие вызовы (через Интернет) для Webex Cloud.
Приложения и устройства SIP:
- Устройство Webex Room, использующее SIP для регистрации в Unified CM
- IP-телефоны Cisco, использующие SIP для регистрации в Unified CM или службе Webex Calling
- Стороннее приложение или устройство SIP, использующее стороннее приложение для управления SIP-вызовами
Примечание. * Если маршрутизатор или брандмауэр SIP совместим с SIP, то есть у него включен шлюз уровня приложения (ALG) для SIP или аналогичный ему, рекомендуется отключить эту функцию для поддержания правильной работы службы. Информацию о том, как отключить ALG для SIP на определенных устройствах, см. в соответствующей документации производителя
В таблице ниже описаны порты и протоколы, необходимые для доступа к SIP-службам Webex.
| Порты и протоколы для SIP-служб Webex | |||
| Исходный порт | Порт назначения | Protocol | Описание |
| Временные порты Expressway | Webex Cloud 5060–5070 | SIP по TCP/TLS/MTLS | передача сигналов SIP из Expressway E в облако Webex Транспортный протокол TCP/TLS/MTLS |
| Временные порты Webex Cloud | Expressway 5060–5070 | SIP по TCP/TLS/MTLS | передача сигналов SIP из облака Webex в Expressway E Транспортный протокол TCP/TLS/MTLS |
| Expressway с 36000 до 59999 | Облако Webex 49152 -59999 | RTP/SRTP по UDP | Незашифрованные/зашифрованные мультимедиа из Expressway E в облако Webex Протокол передачи мультимедиа: UDP |
| Облако Webex 49152–59999 | Expressway с 36000 до 59999 | RTP/SRTP по UDP | Незашифрованные/зашифрованные мультимедиа из облака Webex в Expressway E Протокол передачи мультимедиа: UDP |
SIP-соединение между Expressway E и облаком Webex поддерживает передачу незашифрованных сигналов по протоколу TCP и зашифрованных сигналов по протоколу TLS или MTLS. Передача зашифрованных сигналов по SIP предпочтительнее, поскольку перед дальнейшим использованием соединения возможна проверка сертификатов, которыми обменялись Webex Cloud и Expressway E.
Для осуществления SIP-вызовов к Webex Cloud и SIP-вызовов B2B к другим организациям обычно используется Expressway. Разрешите в брандмауэре:
- весь трафик SIP-сигналов, исходящий от узлов Expressway E,
- Весь трафик SIP-сигналов, входящий в узлы Expressway E.
Если требуется ограничить передачу входящих и исходящих сигналов SIP и связанного с ними трафика мультимедиа для облака Webex, настройте брандмауэр таким образом, чтобы разрешать трафик на IP-подсети для мультимедиа Webex (см. раздел IP-подсети для служб мультимедиа Webex) и в следующие регионы AWS: us-east-1, us-east-2, eu-central-1, us-gov-west-2, us-west-2. Диапазон IP-адресов для этих регионов AWS можно найти здесь: https://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html
* Эта веб-страница не обновляется мгновенно, поскольку AWS регулярно изменяет диапазоны IP-адресов в своих подсетях. Для динамического отслеживания изменений диапазонов IP-адресов AWS компания Amazon рекомендует подписаться на следующую службу уведомлений: https://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html#subscribe-notifications
Media for SIP-based Webex services uses the same destination IP subnets for Webex Media (listed here)
| Protocol | Номера портов | Направление | Тип доступа | Комментарии |
| TCP | 5061, 5062 | Входящий | Передача SIP-сигналов | Входящие сигналы SIP для аудио Webex Edge |
| TCP | 5061, 5065 | Исходящий | Передача SIP-сигналов | Исходящие сигналы SIP для аудио Webex Edge |
| TCP/UDP | Временные порты 8000–59999 | Входящий | Порты мультимедиа | В корпоративном брандмауэре должны быть открыты порты для входящего на Expressway трафика в диапазоне 8000–59999 |
сетка видео Cisco Webex
Сетка видео Cisco Webex предоставляет локальную службу мультимедиа в вашей сети. Вместо передачи всего мультимедиа в Webex Cloud, оно может оставаться в вашей сети, чтобы уменьшить использование полосы пропускания Интернета и повысить качество мультимедиа. Подробности см. в руководстве по развертыванию сетки видео Cisco Webex.
Служба календаря гибридного типа
Гибридная служба календаря связывает Microsoft Exchange, Office 365 или Календарь Google с Webex, упрощая процесс планирования совещаний и присоединения к ним, особенно с мобильного устройства.
Дополнительные сведения см. в статье: Руководство по развертыванию службы календаря гибридного типа Webex
Служба каталогов гибридного типа
Соединитель каталогов Cisco – это локальное приложение для синхронизации удостоверений в облако Webex. Оно предлагает простой административный процесс, который автоматически и безопасно распространяет контакты из корпоративной адресной книги в облако и обеспечивает их синхронизацию для точности и согласованности.
Дополнительные сведения см. в статье: Руководство по развертыванию соединителя каталогов Cisco
Предпочтительная архитектура для гибридных служб Webex
Предпочтительная архитектура для гибридных служб Cisco Webex описывает общую гибридную архитектуру, ее компоненты и общие рекомендации по проектированию. См.: Предпочтительная архитектура для гибридных служб Webex
При развертывании системы Webex Calling со службами Webex Meetings и обмена сообщениями сетевые требования для службы Webex Calling можно найти здесь: https://help.webex.com/b2exve/Port-Reference-Information-for-Cisco-Webex-Calling
При развертывании системы Webex Calling со службами Webex Meetings и обмена сообщениями сетевые требования для службы Webex Calling можно найти здесь: https://help.socio.events/en/articles/4796797-what-domains-emails-should-be-allowlisted-by-my-attendees-network-admins
Для клиентов, которым требуется список диапазонов IP-адресов и портов для служб FedRAMP Webex
Эту информацию можно найти здесь: https://www.cisco.com/c/dam/en/us/td/docs/voice_ip_comm/cloudCollaboration/WebexforGovernment/FedRAMP_Meetings_Ports_IP_Ranges_Quick_Reference.pdf
