Требования к сети для выделенного экземпляра

Физическая безопасность

Важно обеспечить физическую безопасность помещений Equinix Meet-Me Room и Cisco. Выделенный экземпляр Услуги дата-центра. Когда физическая безопасность скомпрометирована, могут быть инициированы простые атаки, такие как прерывание обслуживания путем отключения питания коммутаторов клиента. Имея физический доступ, злоумышленники могут получить доступ к серверным устройствам, сбросить пароли и получить доступ к коммутаторам. Физический доступ также способствует более изощренным атакам, таким как атаки типа "злоумышленник в середине", поэтому второй уровень безопасности, сетевая безопасность, имеет решающее значение.

Диски с самошифрованием используются в Выделенный экземпляр Центры обработки данных, в которых размещаются приложения UC.

Дополнительную информацию об общих методах обеспечения безопасности см. В документации по следующему адресу: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Сетевая безопасность

Партнерам необходимо обеспечить безопасность всех сетевых элементов. Выделенный экземпляр инфраструктура (которая подключается через Equinix). В обязанности партнера входит обеспечение таких рекомендации безопасности, как:

• Отдельная виртуальная локальная сеть для голоса и данных

• Включить защиту порта, которая ограничивает количество MAC -адресов, разрешенных для каждого порта, от переполнения таблицы CAM

• Защита источника IP от подделки IP -адресов

• Dynamic ARP Inspection (DAI) проверяет протокол разрешения адресов (ARP) и бесплатный ARP (GARP) на предмет нарушений (от спуфинга ARP)

• 802.1x ограничивает доступ к сети для аутентификации устройств в назначенных VLAN (телефоны поддерживают 802.1x )

• Настройка качества обслуживания (QoS) для соответствующей маркировки голосовых пакетов

• Конфигурация портов брандмауэра для блокировки любого другого трафика

Безопасность конечных точек

Конечные точки Cisco поддерживают функции безопасности по умолчанию, такие как подписанное микропрограммное обеспечение, безопасная загрузка (выбранные модели), установленный производителем сертификат (MIC) и подписанные файлы конфигурации, которые обеспечивают определенный уровень безопасности для конечных точек.

Кроме того, партнер или заказчик могут включить дополнительную безопасность, например:

• Шифрование служб IP-телефон (через HTTPS) для таких служб, как Extension Mobility

• Выдача локально значимых сертификатов (LSC) с помощью функция прокси центра сертификации (CAPF) или общедоступного центра сертификации (CA)

• Шифровать файлы конфигурации

• Шифрование мультимедиа и сигналов

• Отключите эти настройки, если они не используются: порт ПК ПК , голосовой доступ к виртуальная локальная сеть с ПК, бесплатный ARP, веб доступ, кнопка настроек, SSH, консоль

Внедрение механизмов безопасности в Выделенный экземпляр предотвращает кражу идентификационных данных телефонов и сервер Unified CM, фальсификацию данных и фальсификацию сигналов вызова / медиа-потока.

Выделенный экземпляр по сети:

• Устанавливает и поддерживает аутентифицированные потоки связи

• Цифровая подпись файлов перед передачей файла на телефон

• Шифрование медиапотоков и сигнализации вызовов между IP -телефонами Cisco Unified

Безопасные приложения UC

Защита связи между Cisco Unified CM и CUBE

Для безопасного обмена данными между Cisco Unified CM и CUBE партнеры / клиенты должны использовать либо самоподписанный сертификат, либо сертификаты, подписанные ЦС.

Для самоподписанных сертификатов:

1. CUBE и Cisco Unified CM генерируют самоподписанные сертификаты

2. CUBE экспортирует сертификат в Cisco Unified CM

3. Cisco Unified CM экспортирует сертификат в CUBE

Для сертификатов, подписанных ЦС:

1. Клиент генерирует пару ключей и отправляет запрос на подпись сертификата (CSR) в центр центр сертификации (CA)

2. ЦС подписывает его своим закрытым ключом, создавая удостоверение личности.

3. Клиент устанавливает список доверенных корневых и промежуточных сертификатов ЦС, а также удостоверение личности.

Сводка протокола

В следующей таблице показаны протоколы и связанные службы, используемые в решении Unified CM .

Дополнительные сведения о настройке MRA см. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Защита Jabber и Webex с помощью SIP OAuth

Клиенты Jabber и Webex аутентифицируются с помощью маркера OAuth вместо локально значимый сертификат (LSC), который не требует включения функция прокси центра сертификации -сервера (CAPF) (в том числе для MRA). SIP OAuth, работающий со смешанным режимом или без него, был представлен в Cisco Unified CM 12.5 (1), Jabber 12.5 и Expressway X12.5.

В Cisco Unified CM 12.5 у нас есть новый параметр в профиле безопасности телефона, который включает шифрование без LSC/ CAPF с использованием единого маркера Transport Layer Security (TLS) + OAuth в SIP REGISTER. Узлы Expressway-C используют API административной веб -службы XML ( AXL ) для информирования Cisco Unified CM о SN / SAN в своем сертификате. Cisco Unified CM использует эту информацию для проверки сертификата Exp-C при установке взаимного соединения TLS .

SIP OAuth обеспечивает шифрование мультимедиа и сигналов без сертификата конечной точки (LSC).

Cisco Jabber использует временные порты и защищенные порты 6971 и 6972 через соединение HTTPS с сервером TFTP для загрузки файлов конфигурации. Порт 6970 - это незащищенный порт для загрузки через HTTP.

Подробнее о настройке SIP OAuth: Режим SIP OAuth .