Ďakujeme za vašu spätnú väzbu.

Zvážme hypotetického partnera Webex s názvom TelSP, ktorý ilustruje rôzne modely nasadení, ktoré môže partner prijať.

Tu sú špecifikácie a požiadavky na vysokej úrovni TelSP:

• Partner plánuje používať sip.telsp.com ako doménu najvyššej úrovne, ktorá je zdieľaná medzi všetkými zákazníkmi, ktorých spravujú.

• Partner vlastní sip.telsp.com a môže spravovať infraštruktúru DNS a certifikačné orgány, spravovať adresy DNS a podpisovať certifikáty pre túto doménu a jej subdomény.

• Partner môže nasadiť dva odlišné kontroléry hraníc relácie (fyzické alebo virtuálne) ako lokálne brány pre zdieľaný prístup PSTN medzi koncovými zákazníkmi.

• Partner má dve fyzické stránky a obe tieto stránky zdieľajú pripojenie PSTN:

  • Miami

  • chicago

• TelSP prevádzkuje svoje miestne brány v mene dvoch zákazníkov CuSta a CustB, ako sú odkazované.

Požadovaným scenárom je vytvorenie/ukončenie PSTN pre oboch zákazníkov, ktorí používajú brány Miami a Chicago dodané partnerom, ako je znázornené na obrázku:

Príklad zjednodušeného nasadenia

Nasledujúci zjednodušený príklad ukazuje, ako identita Peer cert umožňuje jednému certifikátu podporu viacerých zákazníckych trunkov:

• Certifikát —sip. telsp.com

• Kmene

  • custa.sip.telsp.com

  • custb.sip.telsp.com

• Identita rovesníckeho certifikátu —sip.tel sp.com

• Výsledok

  • Používa sa jeden certifikát

  • Podporuje sa viacero zákazníckych kmeňov

Priradenie polohy zákazníka k kmeňu a bráne

Nasledujúce časti poskytujú podrobné mapovanie konfigurácie pre nasadenie opísané vyššie.

Webex Callingumožňuje vytváranie kmeňov a zdieľanie k meňa na viacerých miestach. Pri vytváraní kmeňa priradte kmeň k umiestneniu.

Pre CuSta sú podrobnosti kufra nasledovné:

Obrázok zobrazuje spojenie umiestnenia zákazníka k bráne a trunu pre CuStA:

Pri tomto nasadení je kmeň priradený k umiestneniu primárnym pripojením PSTN pre dané miesto. Druhý kmeň sa používa ako sekundárne pripojenie PSTN alebo trasa pre konkrétne položky plánu vytáčania. Implementácia vzťahu primárneho a sekundárneho pripojenia PSTN prebieha prostredníctvom koncepcie Route Group. Podrobnosti nájdete v časti Konfigurácia kmeňov brány v časti Control Hub.

Pre CustB sa vytvor í podobné nastavenie s nasledujúcimi kmeňmi:

Obrázok ukazuje spojenie umiestnenia zákazníka k bráne a trun kovi pre CustB:

Obrázok ukazuje tretie miesto konkrétne New York, ktoré môžete pridať neskôr a ukázať na kmeň trunk_chicago ako jeho prim árne pripojenie PSTN.

Pri nasadení lokálnej brány, ktorá zdieľa viac kmeňov, Cisco nariaďuje používať jedinečný FQDN na kmeň. Podrobnosti nájdete v téme Konfigurovanie kmeňov, -route-groups, -and-dial-plans-for-webex-volanie.

Ideálnou voľbou je použitie IP adresy a známeho portu na kmeň. Obstarávanie verejnej adresy IPv4 však môže byť náročné pre niektorých partnerov, ktorí chcú použiť jednu adresu na bránu na jednu stránku.

Preto si prečítajte tieto dôležité ukazovatele:

• Spoločnosť Cisco nezadáva IP adresu na jeden kmeň.

• Adresa kmeňa sa môže vyriešiť na jedinečnú adresu IP alebo na adresu zdieľanú medzi iným kmeňom.

• Spoločnosť Cisco odporúča nakonfigurovať každé pripojenie kmeňa s jedinečnou kombináciou adresy IP a portov na lokálnej bráne z nasledujúcich dôvodov:

  1. Udržiavanie samostatných prepojení TCP na kmeň podporuje maximálnu kapacitu súbežného volania na kmeň. Zdieľanie IP adries a kombinácií portov naprieč kmeňmi môže mať negatívny vplyv na kapacitu hovorov.

  2. Poskytuje izoláciu na úrovni siete medzi zákazníkmi

  3. Pre kontrolérov hraníc relácie je typické opätovne používať efemérne pripojenie zásuvky TCP, pokiaľ nie je zabezpečená izolácia ako jedinečný nájomca rozdelený adresou IP alebo jedinečným počúvacím portom pre nájomcu.

  4. Pripojenie alebo pripojenie na kmeň prostredníctvom izolácie nájomcu poskytuje lepšiu priepustnosť konkrétne v sieťových podmienkach s vysokou stratou dát. Preto návštevnosť jedného zákazníka nemá vplyv na druhého.

IP adresa na bránu: konfigurácia kmeňa a odporúčania

Pozrite si tieto príklady rôznych modelov plánovania:

Model 1: Jedinečná adresa IP na kmeň

V tomto modeli sa všetky kmene hostené obidvoma bránami vyriešia na jedinečnú IP adresu a každý z týchto kmeňov môže alebo nemusí používať ten istý port, ale ideálne ten istý port.

Reprezentácia informácií v tabuľkovom formáte:

V tom istom modeli môže partner použiť adresu SRV. Webex Callingumožňuje iba „_sips. _tcp“ ako kombinácia služby a protokolu na zistenie partnerskej adresy, ak ide o záznam SRV.

Ukážka riešenia záznamu SRV

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.custa.sip.telsp.com

Model 2: Zdieľané IP na bránu, jedinečné počúvacie porty

V tomto modeli sa všetky kmene hostené na miestnej bráne v Chicagu riešia na rovnakú IP adresu a všetky kmene hostené na miestnej bráne Miami sa riešia na inú IP adresu. Pri použití rovnakej IP je však každý kmeň nakonfigurovaný pomocou FQDN v riadiacom rozbočovači a je nakonfigurovaný s jedinečným portom.

V tom istom modeli partner používa adresu SRV. Webex Callingumožňuje iba „_sips. _tcp“ ako kombinácia služby a protokolu na zistenie partnerskej adresy, ak ide o záznam SRV.

Ďalšia ukážka riešenia záznamu SRV je nasledovná. V tomto príklade existuje 1 zá znam A na adresu IP. Port je však jedinečný pre každú adresu a je reprezentovaný prostredníctvom špecific kej konfigurácie DNS spájajúcej adresu SRV s pravým portom.

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.sip.telsp.com

nslookup -type=srv _sips._tcp.trunk.miami.custb.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custb.sip.telsp.com = 3600 50 5062 miami.sip.telsp.com

V prípade kmeňov založených na SRV je identita Peer cert pôvodne vyplnená z nakonfigurovaných hodnôt SRV a môže sa prispôsobiť podľa rovnakých validačných pravidiel.

Partner vlastní telsp.com a jeho subdomény. Preto server DNS a oprávnenie získať certifikáty podpísané schválenou certifikačnou autoritou spočíva na partnerovi.

• Cisco Webexočakáva, že partner zverejní adresu FQDN alebo SRV vrátane záznamov A vo verejnej dom éne.

• Cisco Webexočakáva, že partner použije jeden z certifikačných orgánov uvedených v tomto dokumente.

Pri konfigurácii kmeňov pomocou FQDN alebo SRV:

• Každý kmeň musí mať stále jedinečný FQDN pre smerovanie a identifikáciu

• Záznamy DNS (záznam alebo SRV) musia byť správne nakonfigurované a rozlíšiteľné

• Tieto FQDNS sa používajú na signalizáciu a smerovanie. Validácia certifikátu sa vykonáva na základe nakonfigurovanej identity Peer cert, ktorá predvolene nastavuje hodnoty kmeňového FQDN, ale dá sa pri spôsobiť zdieľanej identite vlastnenej partnerom.

  Pole identity Peer cert je vopred vyplnené z kmeňového FQDN a môže byť nahradené zdieľanou doménou vlast nenou partnerom, aby sa použil jeden certifikát vo viacerých zákazníckych trunkách.

Nastavenie brány

Tieto zdroje použite na nastavenie lokálnej brány.

Ak chcete nastaviť aplikáciu Cisco CUBE, použite tento postup: Nak onfigurujte lokálnu brá Cisco IOS nu na XE Webex Calling

Môžete nastaviť schválené SBC tretích strán, pozri: Začíname s lokál nou bránou

Nastavte partnerskú hostenú bránu v súlade s týmito pokynmi: Začnite s lokálnou bránou

Nastavte každý kufor podľa príslušných pokynov pre zariadenie SBC. Pokyny Cisco CUBE nájdete v téme Kon figurácia lokálnej br Cisco IOS ány na XE Webex Calling

Nastavte hlasové triedy, vytočte rovesníkov a vytočte skupiny rovesníkov pre prichádzajúcu a odchádzajúcu prevádzku pre kmeň podľa obrázka:

Pri poskytovaní kmeňa poskytuje Control Hub možnosť nakonfigurovať identitu rovesníckeho certifiká tu na stránke A dd Trunk. Toto vylepšenie zjednodušuje pracovný postup tým, že umožňuje partnerom konfigurovať a opätovne použiť jednu doménu najvyššej úrovne vo viacerých zákazníckych organizáciách. Tento prístup eliminuje potrebu samostatných certifikátov na zákazníka alebo na kmeň, čím sa znižuje prevádzkové úsilie a zjednodušuje proces nastavenia.

Pri konfigurácii kmeňov v Control Hub definujte identitu certifikátu Peer, aby ste mohli používať jediný certifikát pre vašu doménu najvyššej úrovne vo všetkých zákaz níckych organizáciách. Uistite sa, že CN alebo SAN certifikátu obsahuje túto doménu najvyššej úrovne. Pri identi te Peer cert používa lokálna brána jediný certifikát, ktorého CN alebo SAN obsahuje zdieľanú doménu partnera (napríklad sip.telsp.com). Certifikáty zástupných znakov (napr. *.sip.telsp.com) nie sú podporované. Webex Callingakceptuje tento certifikát pre každý zákaznícky kmeň, ktorý je výslovne nakonfigurovaný s touto hodnotou ako identitou Peer cert. Certifikát musí obsahovať presnú nakonfigurovanú hodno tu identity Peer certifikátu vo svojom CN alebo SAN. Tým sa eliminuje potreba konfigurovať samostatné certifikáty alebo položky CN/SAN pre jednotlivé kmeňové FQDNS.

Overenie domény a používanie certifikátov

Je dôležité pochopiť, ako sa overovanie domény líši od používania certifikátov:

• Overenie domény (na zákazníka) — Každá zákaznícka organizácia musí nezávisle overiť doménu (napríklad sip.telsp.com) pridaním jedinečného záznamu TXT do DNS. To zaisťuje, že partner vlastní doménu a zabráni neoprávnenému použitiu.

• Správa certifikátov (globálna) — Jeden certifikát vydaný pre doménu najvyššej úrovne partnera je možné zdieľať vo všetkých zákazníckych trhoch pomocou identity Peer cert identity. Nie je potrebné udržiavať samostatné certifikáty na zákazníka alebo na ku for.

Správanie identity rovesníkov

Identita rovnocenného certifikátu definuje identi Webex Calling tu, ktorú očakáva v certifikáte predloženom miestnou bránou.

Po nakonfigurovaní:

• Webex Callingpotvrdzuje certifikát zosúladením nakonfigurovanej identity Peer certifikátu s CN alebo SAN v certifikáte

• Ak sa hodnoty zhodujú, pripojenie TLS je akceptované

• Ak sa hodnoty nezhodujú, pripojenie sa zamietne

Autentifikovať sa môžu iba kmene explicitne nakonfigurované so zodpovedajúcou identitou Peer cert.

Samotné overenie certifikátu nie je jedinou kontrolou vykonanou počas autentifikácie. Okrem overenia certifikátu CN alebo SAN voči nakonfigurovanej identite Peer cert overuje Webex Calling aj to, či je kmeňový FQDN výslovne nakonfigurovaný a priradený k zodpovedajúcej identite certifikátu Peer certifikátu v Control Hub.

Identita Peer cert je vopred vyplnená z hodnôt kmeňa FQDN/SRV. Ak ponecháte predvolené nastavenia, existujúce správanie certifikátu podľa kmeňa sa nezmení. Existujúce kmene založené na certifikátoch naďalej fungujú bez úprav. Môžete si prijať zdieľanú identitu Peer cert na nových alebo existujúcich kmeňoch vlastným tempom a oba modely môžu koexistovať.

1. Platný príklad konfigurácie:

   • Certifikát KN —sip.tel sp.com

   • Certifikát SAN —custa.sip. telsp.com

   • Identita rovesníckeho certifikátu —custa.sip. telsp.com

   • Kufor FQDN —trunk.miami.custa.sip.telsp.com

   Vý@@ sledok —Pripojenie je úspešné, pretože identita Peer cert (custa.sip.telsp.com) zodpovedá hodnote SAN v certifikáte a kmeňový FQDN (trunk.miami.custa.sip.telsp.com) je subdoménou nakonfigurovanej identity Peer cert.

2. Príklad zlyhania pripojenia:

   • Certifikát KN —sip.tel sp.com

   • Certifikát SAN —custa.sip. telsp.com

   • Identita rovesníckeho certifikátu —custb.sip. telsp.com

   • Kufor FQDN —trunk.miami.custb.sip.telsp.com

   Výsledok — Pripojenie zlyhá pri podaní ruky TLS, pretože identita certifikátu Peer (custb.sip.telsp.com) nie je prítomná v CN alebo SAN certifikátu. Kmeňový FQDN je správne subdoménou identity Peer cert, ale certifikát túto identitu nenesie.

3. Príklad neplatnej konfigurácie:

   • Certifikát KN —sip.tel sp.com

   • Certifikát SAN —custa.sip. telsp.com

   • Identita rovesníckeho certifikátu —custa.sip. telsp.com

   • Kufor FQDN —trunk.miami.custb.sip.telsp.com

   Výsledok — Control Hub odmieta túto konfiguráciu v čase šetrenia, pretože kmeňový FQDN (trunk.miami.custb.sip.telsp.com) nie je rovný alebo subdoméne nakonfigurovanej identity Peer cert (custa.sip.telsp.com).

V rozbočovači Partner Hub môžete spustiť Control Hub pre cUsta alebo CustB a nakonfigurovať bránu. Tento postup použite na konfiguráciu pre každého zákazníka:

1. Vytvorte trunk — pridajte kmeň v časti Volanie/Smerovanie hovorov/Trunk pre každú zdieľanú bránu partnera. Ak chcete nastaviť kmeň, pozrite si tému Konfigurácia kmeňov, skupín trás a plánov vytáčania Webex Calling

2. Pridanie domény a overenie — Pridajte a overte nasledujúcu doménu, ktorá sa používa na vytvorenie kmeňa v časti Správa/Nastavenia organizácie/Domény.

   ZákazníkB	CustomERC
   sip.telsp.com	sip.telsp.com

   Po pridaní domény sa vygeneruje token a umiestni sa do záznamu TXT domény na serveri DNS partnera. Tento záznam umožňuje Control Hub overiť, či doména vlastní partner. Podrobnosti nájdete v téme Správa domén

   Spoločná doména sa používa na overenie u každého zákazníka. Keďže sa však toto ove renie uskutočňuje na úrovni zákazníckej organizácie, uistite sa, že je generovaný iný token a použitý na overenie v každej zákazníckej organizácii. Pretože jedna doména sa používa vo všetkých zákazníckych organizáciách a každá zákaznícka organizácia musí nezávisle overiť doménu pomocou jedinečného záznamu TXT, a to aj pri zdieľaní rovnakej domény.

   Pre identitu Peer cert je potrebné iba overenie domény. Nevyžadujte zdieľanú doménu do zákazníckej organizácie. Doménu môže nárokovať iba jedna organizácia, zatiaľ čo rovnakú doménu je možné overiť vo viacerých organizáciách.

3. Nastavte adresu SBC pomocou FQDN

   Pre bránu Miami:

   Parameter	ZákazníkB	CustomERC
   Umiestnenie	Denver	Boston
   Názov kufra	trunk_miami	trunk_miami
   Typ kufra	Na základe certifikátu	Na základe certifikátu
   Typ zariadenia	napr Cisco Unified Border Element(alebo iné podporované zariadenie)	napr Cisco Unified Border Element(alebo iné podporované zariadenie)
   Typ adresy SBC	FQDN	FQDN
   Názov hostiteľa	lgw.miami	lgw.miami
   Doména	sip.telsp.com	sip.telsp.com
   Prístav	5061	5062
   FQDN	lgw.miami.customerb.sip.telsp.com:5061	lgw.miami.customerc.sip.telsp.com:5062
   Maximálny počet súbežných hovorov (250-6500)	500	500

   Pre bránu Chicago:

   Parameter	ZákazníkB	CustomERC
   Umiestnenie	Detroit	Dallas
   Názov kufra	trunk_Chicago	trunk_Chicago
   Typ kufra	Na základe certifikátu	Na základe certifikátu
   Typ zariadenia	napr Cisco Unified Border Element(alebo iné podporované zariadenie)	napr Cisco Unified Border Element(alebo iné podporované zariadenie)
   Typ adresy SBC	FQDN	FQDN
   Názov hostiteľa	lgw.Chicago	lgw.Chicago
   Doména	sip.telsp.com	sip.telsp.com
   Prístav	5061	5062
   FQDN	lgw.chicago.customerb.sip.telsp.com:5061	lgw.chicago.customerc.sip.telsp.com:5062
   Maximálny počet súbežných hovorov (250-6500)	500	500

   • (Voliteľné) Názvy kmeňa nemusia byť v rámci zákazníckych organizácií jedinečné. Opätovné použitie rovnakého názvu (napríklad trunk_miami) uľahčuje sledovanie kufra.

   • Niektoré SBC umožňujú konfiguráciu rovnakého portu, ale táto konfigurácia môže ovplyvniť kapac itu. Preto používajte rôzne porty.

4. Identita rovesníckeho certifikátu—

   • Predpona —Predpona je voliteľná. Nechajte ho prázdny a nastavte identitu Peer cert iba na doménu. Toto je model zdieľaného certifikátu použitý v tomto článku (identita Peer cert — sip.telsp.com, pokrývajúci všetky zákaznícke oblasti). Voliteľne zadajte predponu na definovanie konkrétnejšej identity certifikátu (napríklad predpona: Customer B, Doména: CustomerB.sip.telsp.com pre certifikát pre zákazníka). Samot ný kmeňový FQDN zostáva definovaný pomocou adresy SBC Host name a Domain pole a musí sa rovnať alebo subdoméne výslednej identity Peer cert.

     Príklad:

     Predpona - zákazníkB

     Doména—sip.telsp.com

     výsled—customerb.sip.telsp.com

   • Doména: Vyberte doménu zo zoznamu domén overených v zákazníckej organizácii. Výsledná identita Peer certifikátu (predpona + doména) sa musí zhodovať s CN alebo SAN certifikátu, ktorý váš SBC prezentuje. Webex Callingpoužíva túto hodnotu na overenie pripojenia TLS.

     

     Control Hub túto konfiguráciu odmieta s úsporou času, pretože kmeňový FQDN nie je pod nakon figurovanou identitou Peer cert.

     Ak sa totožnosť Peer certifikátu nezhoduje s CN alebo SAN v certifikáte predloženom SBC, Webex Calling odmietne pripojenie TLS a kmeň sa nepodarí zisti ť.

5. Používanie kufra — vyberte ľubovoľné umiestnenie kmeňa z dôvodu nasledujúceho:

   • Akékoľvek miesto môže používať kufor v pripojení PSTN.

   • K kmeňu máte prístup cez skupinu trás.

   • Kmeň môže používať akýkoľvek plán vytáčania.

6. Pozrite si definície kmeňa s priradenými miestami:

   

   Tieto kmene môžete použiť na vytvorenie skupín trás. Na obrázku je definovaná skupina trás rg_miami_chicago, ktorá trasy volá na kmeň trunk _ miami ako primárnu možnosť a na kmeň trunk_ chicago ako sekundárnu možnosť.

   

   Môžete definovať druhú skupinu trás rg_chicago_miami, ktorá smeruje hovory na kmeň trunk_chicago ako primárnu možnosť a do kmeňa trunk_ miami ako sekundárnu možnosť.

7. Definované kmene a skupiny trás sú teraz k dispozícii v možnosti PSTN Calling Connection pre každé miesto. Na obrázku si pozrite polohu Denveru.

   

8. Kmene a skupiny trás môžete použiť v definícii plánu vytáčania. Napríklad rozsah miestnych čí sel v Chicagu pre zákazníka je rozdelený tak, aby sa ukončil do skupiny trás rg_chicago_miami (pre všetky miesta) na obrázku:

   

   

Poskytovanie rozhraní API v rozsahu

Partneri spravujúci veľké množstvo zákazníckych organizácií môžu poskytovať domény vo veľkom rozsahu pomocou rozhraní API namiesto používateľského rozhrania.

• Overiť doménu

• Smerovanie hovorov