Благодарим вас за обратную связь.

Webex CallingEdge

Чтобы выполнить регистрацию или звонок по протоколу SIP, выполните следующие шаги:

• Узнайте адрес хоста конечной точки SIP для активных узлов Edge.

• Выполните все предварительные условия, связанные с конфигурацией пользователя и устройства.

• Убедитесь, что конечная точка подключена к общедоступной сети, чтобы начать обнаружение сервисов.

• Выполните предварительные условия для начальной загрузки конечной точки с помощью конфигурации выделения ресурсов, специфичной для региона или центра обработки данных. Эта конфигурация помогает получить соответствующий суффикс доменного имени для обнаружения сервисов.

Сравнение IPv4 и IPv6

Устройства могут работать в режиме с одной версией или с двумя стеками. Изменения в предпочтительном протоколе определяются конфигурацией, и эти изменения не являются частью процесса обнаружения сервисов.

• Режим одного стека — включает только один IP-протокол (например, IPv4) и игнорирует адреса других протоколов.

• Режим с двумя стеками — предпочтительная версия IP-адреса выбирается в зависимости от конфигурации.

Клиент считает, что приоритет всех предпочтительных адресов ниже (то есть предпочтительнее), чем у всех IP-адресов. Если предпочтение отдается протоколу IPv4, перед использованием адреса IPv6 будут запрошены все адреса IPv4. Если все адреса не работают, цикл начинается снова с адреса предпочтительного протокола с самым низким приоритетом.

Мобильный клиент, зарегистрировавшийся после получения push-уведомления, может решить оптимизировать режим на основе предыдущих регистраций.

Разделение адреса хоста с адресом DNS SRV

В файле конфигурации конечной точки, полученном в результате инициализации, индикатор домена указывает доменное имя для обнаружения пограничного сервиса доступа. Пример доменного имени:

wxc.edge.bcld.webex.com

Из этого примера видно, что конечная точка, выполняющая DNS SRV поиск по этому домену, может дать ответ, подобный следующему:

# nslookup -type=srv _sips._tcp. wxc.edge.bcld.webex.com
_sips._tcp.wxc.edge.bcld.webex.com SRV 5 100 5061 sip-edge1.us-dc1.bcld.webex.com.
_sips._tcp.wxc.edge.bcld.webex.com SRV 10 105 5061 sip-edge2.us-dc1. bcld.webex.com.

В данном случае запись SRV указывает на 3 записи A.

sip-edge1.us-dc1.bcld.webex.com
sip-edge2.us-dc1.bcld.webex.com

В этом примере объявляется, что все хосты будут обращаться к порту 5061 с разным весом и приоритетом.

Рассмотрим эти требования к конечным точкам.

• Конечная точка должна использовать _sips._tcp(комбинацию служб и протоколов) в качестве префикса для DNS SRV поиска адреса хоста для инициирования связи на основе TLS.

• Конечная точка должна выполнить DNS SRV поиск условий, описанных в разделе «Разрешение адреса хоста» в разделе «Адрес». DNS SRV

• Конечная точка должна учитывать хост, порт, вес и приоритет, указанные для каждого адреса хоста. Кроме того, при создании сокетного соединения во время регистрации SIP необходимо обеспечить привязку хоста к порту.

• Что касается использования DNS SRV записи, критерии выбора хостов на основе приоритета и веса описаны в документе RFC 2782.

Требования к безопасному протоколу SIP с использованием mTLS (взаимный протокол TLS)

Эти требования подробно описаны здесь.

Подписанный сертификат необходим для успешной авторизации и аутентификации вызовов из магистрали. Сертификат должен соответствовать следующим требованиям:

• Сертификат должен быть подписан центром сертификации, указанным в разделе Какие корневые центры сертификации поддерживаются для звонков на Cisco Webex аудио- и видеоплатформы?

• Загрузите пакет доверия, указанный в разделе Какие корневые центры сертификации поддерживаются для звонков на Cisco Webex аудио- и видеоплатформы? перейдем к CUBE.

• Сертификат должен быть действителен всегда:

  • Срок действия подписанных сертификатов всегда должен быть действительным.

  • Срок действия корневых или промежуточных сертификатов должен быть действительным и их нельзя аннулировать.

  • Поддерживаются сертификаты, содержащие только расширенный ключ аутентификации сервера (EKU). Webex Callingне подтверждает и не гарантирует наличие EKU аутентификации клиента во время установления протокола TLS.

    Некоторые сторонние пограничные контроллеры сеансов (SBC) могут требовать строгой проверки EKU и отклонять сертификаты, не содержащие EKU аутентификации клиентов. В таких случаях убедитесь, что SBC настроен на прием сертификатов только с серверной аутентификацией EKU или отключение строгой проверки EKU (если поддерживается).

  • Сертификаты должны содержать полное доменное имя (FQDN) в качестве общего имени или альтернативного имени субъекта в сертификате, причем полное доменное имя должно быть выбрано в Control Hub. Например:

    • Транк, сконфигурированный в Центре управления вашей организации с указанием london.lgw.cisco.com:5061 в качестве полного доменного имени, должен содержать сертификат london.lgw.cisco.com в сертификате CN или SAN.

    • Транк, настроенный в Центре управления вашей организации на сайте london.lgw.cisco.com, представлял собой сертификат SRV, который должен содержать сертификат London.lgw.cisco.com в сертификате CN или SAN. Записи, в которые преобразовывается адрес SRV (запись CNAME/A/IP-адрес), в SAN необязательны.

  • Сертификаты можно передавать нескольким локальным шлюзам, однако убедитесь, что требования к полному доменному имени удовлетворены.

Вне сферы применения

В этой статье не содержится следующей информации, касающейся сетевой безопасности:

• Требования F5 к CA и шифрам

• API на основе HTTP для загрузки правил брандмауэра для Webex.

• API для пакета доверия

• Требования к брандмауэру и отключение ALG