Hvala na povratnim informacijama.

Razmotrimo hipotetičkog Vebek partnera po imenu TelSP kako bi ilustrovao različite modele primene koje partner može usvojiti.

Evo specifikacija i zahteva na visokom nivou TelSP-a:

• Partner planira da koristi sip.telsp.com kao domen najvišeg nivoa koji se deli sa svim kupcima kojima upravljaju.

• Partner je vlasnik sip.telsp.com i može da administrira DNS infrastrukturu i autoritete za sertifikate, upravlja DNS adresama i potpisuje sertifikate za ovaj domen i njegove poddomene.

• Partner može da rasporedi dva različita kontrolera granica sesije (fizičke ili virtuelne) kao lokalne prolaze za zajednički PSTN pristup među krajnjim kupcima.

• Partner ima dve fizičke lokacije, a obe ove lokacije dele PSTN povezivanje:

  • Majami

  • Čikago

• TelSP upravlja svojim lokalnim prolazima u ime dva klijenta CuSTA i CustB kako se od ovoga nazivaju.

Željeni scenario je nastajanje/prekid PSTN-a za oba kupca koji koriste prolaze iz Majamija i Čikaga koje isporučuje partner, kao što je prikazano na ilustraciji:

Primer pojednostavljenog primene

Sledeći pojednostavljeni primer pokazuje kako identitet Peer certifikata omogućava jednom sertifikatu da podržava više grupa kupaca:

• Sertifikat —sip. telsp.com

• Prtljažnici

  • custa.sip.telsp.com

  • custb.sip.telsp.com

• Identitet vršnjačkog certifikata —sip.tel sp.com

• Rezultat

  • Koristi se jedan sertifikat

  • Podržano je više prtljažnika kupaca

Povezivanje lokacije kupca sa prtljažnikom i mrežom

Sledeći odeljci pružaju detaljna mapiranja konfiguracije za gore opisanu implementaciju.

Webex Callingomogućava stvaranje debla i deljenje prtljažnika na više lokacija. Kada kreirate prtljažnik, povežite prtljažnik sa lokacijom.

Za CuSta, detalji prtljažnika su sledeći:

Ilustracija prikazuje povezanost lokacije kupca sa Gateway i Trunk-om za CuStA:

U ovoj implementaciji, prtljažnik povezan sa lokacijom je primarna PSTN veza za tu lokaciju. Drugi prtljažnik se koristi kao sekundarna PSTN veza ili ruta za određene unose plana biranja. Implementacija primarne i sekundarne veze PSTN veze vrši se kroz koncept Route Group. Za detalje pogledajte Konfigurisanje debla prolaza u odeljku Control Hub.

Za CustB kreira se sli čno podešavanje sa sledećim stablima:

Ilustracija prikazuje povezanost lokacije kupca sa Gateway i Trun k-om za CustB:

Ilustracija prikazuje treću lokaciju, naime Njujork, koju možete dodati kasnije i ukazati na trunk_Chicago prtljažnik kao njegovu primar nu PSTN vezu.

Prilikom postavljanja lokalnog mrežnog prolaza koji deli više debla, Cisco nalaže korišćenje jedinstvenog FKDN po trupcu. Za detalje pogledajte Konfigurisanje debla, grupa ruta, -i-biranje planova za Vebek pozivanje.

Korišćenje IP adrese i dobro poznatog porta po prtljažniku je idealan izbor. Međutim, nabavka javne IPv4 adrese može biti izazov za neke partnere koji žele da koriste jednu adresu po mrežnom prolazu po veb lokaciji.

Zato pročitajte ove važne pokazatelje:

• Cisco ne daje IP adresu po prtljažniku.

• Trunk adresa se može rešiti na jedinstvenu IP adresu ili na adresu koju deli drugi prtljažnik.

• Cisco preporučuje da konfigurišete svaku magistralnu vezu jedinstvenom IP adresom i kombinacijom portova na lokalnom mrežnom mrežnom prolazu iz sledećih razloga:

  1. Održavanje zasebnih TCP veza po prtljažniku podržava maksimalni kapacitet istovremenog poziva po prtljažniku. Deljenje IP adresa i kombinacija portova preko debla može negativno uticati na kapacitet poziva.

  2. Pruža izolaciju na nivou mreže između kupaca

  3. Tipično je za granične kontrolore sesije da ponovo koriste efemernu TCP priključnu vezu osim ako postoji izolacija obezbeđena kao jedinstveni stanar podeljen IP adresom ili jedinstvenim portom za slušanje za stanara.

  4. Povezivanje ili veze po prtljažniku kroz izolaciju stanara obezbeđuju bolju propusnost posebno u mrežnim uslovima sa velikim gubitkom podataka. Stoga saobraćaj jednog kupca ne utiče na drugog.

IP adresa po mrežnom prolazu: Konfiguracija trupca i preporuke

Pogledajte ove primere različitih modela za planiranje:

Model 1: Jedinstvena IP adresa po prtljažniku

U ovom modelu, svi prtljažnici hostirani na oba prolaza rešavaju se na jedinstvenu IP adresu i svaki od ovih debla može ili ne mora koristiti isti port, ali idealno isti port.

Predstavljanje informacija u tabelarnom formatu:

U ovom istom modelu partner može da koristi SRV adresu. Webex Callingdozvoljava samo „_gutljaje. _tcp“ kao kombinacija usluge i protokola za otkrivanje vršnjačke adrese ako je to SRV zapis.

Uzorak kako se SRV zapis rešava

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.custa.sip.telsp.com

Model 2: Deljeni IP po mrežnom prolazu, jedinstveni portovi za slušanje

U ovom modelu, svi debli hostirani na lokalnom mrežnom prolazu u Čikagu rešavaju se na istu IP adresu, a svi debli hostirani na lokalnom mrežnom prolazu u Majamiju rešavaju se na drugi IP. Međutim, kada se koristi isti IP, svaki prtljažnik se konfiguriše pomoću FKDN u kontrolnom čvorištu i konfiguriše se sa jedinstvenim portom.

U ovom istom modelu partner koristi SRV adresu. Webex Callingdozvoljava samo „_gutljaje. _tcp“ kao kombinacija usluge i protokola za otkrivanje vršnjačke adrese ako je to SRV zapis.

Još jedan uzorak rešavanja SRV zapisa je sledeći. U ovom primeru postoji 1 A zapis po IP adresi. Međutim, port je jedinstven po adresi i predstavljen je kroz određ enu DNS konfiguraciju koja povezuje SRV adresu sa desnim portom.

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.sip.telsp.com

nslookup -type=srv _sips._tcp.trunk.miami.custb.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custb.sip.telsp.com = 3600 50 5062 miami.sip.telsp.com

Za stablove zasnovane na SRV-u, identitet Peer certifikata je prvobitno popunjen iz konfigurisanih SRV vrednosti i može se prilagoditi, podložno istim pravilima validacije.

Partner poseduje telsp.com i njegove poddomene. Stoga, DNS server i ovlašćenje za dobijanje sertifik ata potpisanih od strane odobrenog autoriteta za sertifikate leži na partneru.

• Cisco Webexočekuje da partner objavi FKDN ili SRV adresu uključujući A Records u javnom domenu.

• Cisco Webexočekuje da partner koristi jedan od organa za sertifikaciju navedenih u ovom dokumentu.

Kada konfigurišete debla pomoću FKDN ili SRV:

• Svaki prtljažnik i dalje mora imati jedinstveni FKDN za usmeravanje i identifikaciju

• DNS zapisi (Zapis ili SRV) moraju biti ispravno konfigurisani i rešljivi

• Ovi fkDNS se koriste za signalizaciju i usmeravanje. Validacija sertifikata vrši se prema konfigurisanom identitetu Peer certifikata, koji podrazumevano postavlja osnovne FKDN vrednosti, ali se može prilagoditi zajedničkom identitetu u vlasništvu partnera.

  Polje identiteta Peer certifikata unapred se popunjava iz magistralnog FKDN-a i može se zameniti del jenim domenom u vlasništvu partnera kako bi se koristio jedan sertifikat u više grupa kupaca.

Podesite mrežni prolaz

Koristite ove resurse da biste postavili lokalni prolaz.

Da biste podesili Cisco CUBE, koristite ovu proceduru: Konfigurišite lokalni mrežni prolaz na Cisco IOS KSE za Webex Calling

Možete da podesite odobrene SBC treće strane, pogledajte: Za počnite sa lokalnim mrežnim mrežom

Podesite mrežni prolaz hostovan partnerom u skladu sa ovim smernicama: Za počnite sa lokalnim mrežnim mrežom

Podesite svaki prtljažnik u skladu sa odgovarajućim uputstvima za SBC uređaj. Za uputstva Cisco CUBE pogledajte: Konfigurisanje lokalnog prolaza na Cisco IOS KSE za Webex Calling

Podesite glasovne klase, birajte vršnjake i birajte vršnjačke grupe za dolazni i odlazni saobraćaj za prtljažnik prema slici:

Tokom obezbeđivanja debla, Control Hub pruža opciju za konfigurisanje identiteta Peer certifikata na stranici A dd Trunk. Ovo poboljšanje pojednostavljuje tok rada omogućavajući partnerima da konfigurišu i ponovo koriste jedan domen najvišeg nivoa u više organizacija kupaca. Ovaj pristup eliminiše potrebu za od vojenim sertifikatima po kupcu ili prtljažniku, smanjujući operativni napor i pojednostavljujući proces podešavanja.

Kada konfigurišete debla u Control Hubu, definišite identitet Peer certifikata kako biste omogućili upotrebu jednog sertifikata za domen najvišeg nivoa u svim organizacijama kupaca . Uverite se da CN ili SAN sertifikata uključuju ovaj domen najvišeg nivoa. Sa identi tetom Peer cert, lokalni mrežni prolaz koristi jedan sertifikat čiji CN ili SAN sadrži deljeni domen partnera (na primer, sip.telsp.com). Džordski sertifikati (na primer, *.sip.telsp.com) nisu podržani. Webex Callingprihvata ovaj sertifikat za svaki korisnički prtljažnik koji je eksplicitno konfigurisan sa tom vred nošću kao svojim identitetom Peer certifikata. Sertifikat mora da sadrži tačnu konfigurisanu vrednost identiteta Peer certifikata u svom CN ili SAN. Ovo eliminiše potrebu za konfigurisanjem zasebnih sertifikata ili CN/SAN unosa za pojedinačne magistralne fkDNS.

Verifikacija domena i upotreba sertifikata

Važno je razumeti kako se verifikacija domena razlikuje od upotrebe sertifikata:

• Verifikacija domena (po klijentu) —Svaka korisnička organizacija mora nezavisno da verifikuje domen (na primer, sip.telsp.com) dodavanjem jedinstvenog TKST zapisa u DNS. Ovo osigurava da partner poseduje domen i sprečava neovlašćenu upotrebu.

• Upravljanje sertifikatima (globalno) — Pojedinačni sertifikat izdat za domen najvišeg nivoa partnera može se deliti na svim grupama kupaca koristeći identitet Peer certifikata. Ne postoji zahtev za održavanje zasebnih sertifikata po kupcu ili po prtljažniku.

Ponašanje identiteta vršnjaka

Identitet vršnjačkog certifikata definiše identitet koji Webex Calling očekuje u sertifikatu koji predstavlja lokalni prolaz.

Kada je konfigurisano:

• Webex Callingpotvrđuje sertifikat usklađivanjem konfigurisanog identiteta Peer certifikata sa CN ili SAN u sertifikatu

• Ako se vrednosti podudaraju, TLS veza je prihvaćena

• Ako se vrednosti ne podudaraju, veza se odbija

Dozvoljena je autentifikacija samo debla eksplicitno konfigurisana sa odgovarajućim identitetom Peer certifikata.

Sama validacija sertifikata nije jedina provera koja se vrši tokom autentifikacije. Pored validacije sertifikata CN ili SAN prema konfigurisanom identitetu Peer certifikata, Webex Calling takođe proverava da li je magistralni FQDN eksplicitno konfigurisan i povezan sa odgovarajućim identitetom Peer certifikata u Control Hubu.

Identitet Peer certifikata je unapred popunjen iz osnovnih vrednosti FKDN/SRV. Ako zadržite podrazumevane vrednosti, postojeće ponašanje sertifikata po trupcu ostaje nepromenjeno. Postojeći pr tljažnici zasnovani na sertifikatima nastavljaju da rade bez modifikacija. Možete usvojiti zajednički identitet Pe er certifikata na novim ili postojećim trupcima svojim tempom, a oba modela mogu koegzistirati.

1. Važeći primer konfiguracije:

   • Sertifikat CN —sip.tel sp.com

   • Sertifikat SAN —custa.sip. telsp.com

   • Identitet vršnjačkog certifikata —custa.sip.telsp.com

   • Trunk FKDN —trunk.miami.custa.sip.telsp.com

   Rezultat —Veza uspeva jer se identitet Peer cert (custa.sip.telsp.com) podudara sa SAN vrednošću u sertifikatu, a trunk.miami.custa.sip.telsp.com je poddomen konfiguri sanog identiteta Peer cert.

2. Primer kvara veze:

   • Sertifikat CN —sip.tel sp.com

   • Sertifikat SAN —custa.sip. telsp.com

   • Identitet vršnjačkog certifikata —custb.sip.telsp.com

   • Trunk FKDN —trunk.miami.custb.sip.telsp.com

   Rezultat —Veza ne uspeva pri TLS stiskanju ruke jer identitet Peer certifikata (custb.sip.telsp.com) nije prisutan u CN ili SAN sertifikatu. Trunk FQDN je ispravno poddomen identiteta Peer cert, ali sertifikat ne nosi taj identitet.

3. Primer nevažeće konfiguracije:

   • Sertifikat CN —sip.tel sp.com

   • Sertifikat SAN —custa.sip. telsp.com

   • Identitet vršnjačkog certifikata —custa.sip.telsp.com

   • Trunk FKDN —trunk.miami.custb.sip.telsp.com

   Rezultat —Control Hub odbacuje ovu konfiguraciju u vreme uštede jer trunk.miami.custb.sip.telsp.com) nije jednak ili poddomen konfigurisanog identiteta Peer certifikata (custa.sip.telsp.com).

Iz Partnerskog čvorišta možete pokrenuti Control Hub za CuSTA ili CustB i konfigurirati mrežni prolaz. Koristite ovu proceduru za konfigurisanje za svakog kupca:

1. Kreirajte trunk-dodajte prtljažnik u odeljku Pozivanje/Usmeravanje poziva/Trunk za svaki deljeni prolaz partnera. Da biste podesili prtljažnik, pogledajte odel jak Konfigurisanje debla, grupa ruta i planova biranja za Webex Calling

2. Dodajte domen i proverite — dodajte i proverite sledeći domen koji se koristi za kreiranje debla u okviru Upravljanje/Podešavanja organizacije/Domeni.

   KlijentB	CustomERC
   sip.telsp.com	sip.telsp.com

   Dodavanjem domena, token se generiše i stavlja u TKST zapis za domen na DNS serveru partnera. Ovaj zapis omogućava Control Hubu da proveri da li je domen u vlasništvu partnera. Detalje potražite u odelj ku Upravljanje domenima

   Zajednički domen se koristi za verifikaciju svakog kupca. Međutim, pošto se ova verifikacija dešava na nivou organizacije kupaca, osigurajte da se generira i koristi drugačiji token za verifikaciju u svakoj organizaciji kupaca. Pošto se jedan domen koristi u svim organizacijama kupaca, a svaka organizacija korisnika mora nezavisno da verifikuje domen koristeći jedinstveni TKST zapis, čak i kada deli isti domen.

   Za identitet Peer certifikata potrebna je samo verifikacija domena. Ne prijavljujte deljeni domen u korisničkoj organizaciji. Domen može da zahteva samo jedna organizacija, dok se isti domen može verifikovati u više organizacija.

3. Podesite SBC adresu pomoću FKDN—

   Za kapiju u Majamiju:

   Parametar	KlijentB	CustomERC
   Lokacija	Denver	Boston
   Ime prtljažnika	trunk_miami	trunk_miami
   Tip prtljažnika	Na osnovu sertifikata	Na osnovu sertifikata
   Tip uređaja	npr. Cisco Unified Border Element(ili drugi podržani uređaj)	npr. Cisco Unified Border Element(ili drugi podržani uređaj)
   SBC Tip adrese	FQDN	FQDN
   Ime hosta	lgv.miami	lgv.miami
   Domen	sip.telsp.com	sip.telsp.com
   Luka	5061	5062
   FQDN	LGV.miami.customerb.sip.telsp.com:5061	LGV.Miami.Customerc.sip.telsp.com:5062
   Maksimalni broj istovremenih poziva (250-6500)	500	500

   Za čikaški kapiju:

   Parametar	KlijentB	CustomERC
   Lokacija	Detroit	Dalas
   Ime prtljažnika	trunk_Chicago	trunk_Chicago
   Tip prtljažnika	Na osnovu sertifikata	Na osnovu sertifikata
   Tip uređaja	npr. Cisco Unified Border Element(ili drugi podržani uređaj)	npr. Cisco Unified Border Element(ili drugi podržani uređaj)
   SBC Tip adrese	FQDN	FQDN
   Ime hosta	lgv.Chicago	lgv.Chicago
   Domen	sip.telsp.com	sip.telsp.com
   Luka	5061	5062
   FQDN	LGV.chicago.customerb.sip.telsp.com:5061	LGV.Chicago.Customerc.sip.telsp.com:5062
   Maksimalni broj istovremenih poziva (250-6500)	500	500

   • (Opcionalno) Imena prtljažnika ne moraju biti jedinstvena u svim organizacijama kupaca. Ponovna upotreba istog imena (na primer, trunk_miami) olakšava praćenje prtljažnika.

   • Određeni SBC omogućavaju konfigurisanje istog porta, ali ova konfiguracija može uticati na kapac itet. Stoga koristite različite portove.

4. Identitet vršnjačkog certifikata—

   • Prefiks —Prefiks nije obavezan. Ostavite ga prazno da biste postavili identitet Peer certifikata samo na domen. Ovo je model deljenog sertifikata koji se koristi u ovom članku (identitet Peer certifikata - sip.tel sp.com, koji pokriva sve grupe kupaca). Po želji unesite prefiks da biste definisali specifičniji identitet sertifikata (na primer, prefiks: CustomerB, Domen: CustomerB.sip.telsp.com za sertifikat po klijentu). Sam tronski FQDN ostaje definisan SBC adresom Ime hosta i poljima domena i mora biti jednak ili poddomenu rezultirajućeg identiteta Peer certifikata.

     Primer:

     Prefiks - kupcaB

     Domen — sip.telsp.com

     Rezult—Customerb.sip.telsp.com

   • Domen: Izaberite domen sa liste domena verifikovanih u organizaciji korisnika. Rezultirajući identitet Peer certifikata (prefiks + domen) mora odgovarati CN ili SAN sertifikatu koji vaš SBC predstavlja. Webex Callingkoristi ovu vrednost za potvrdu autentičnosti TLS veze.

     

     Control Hub odbacuje ovu konfiguraciju uz uštedu vremena jer trunk FQDN nije pod konfiguriranim identitetom Peer certifikata.

     Ako se identitet Peer certifikata ne podudara sa CN ili SAN u sertifikatu koji je predstavio SBC, Webex Calling odbacuje TLS vezu i prtljažnik ne uspostavi .

5. Korišćenje prtljažnika - izaberite bilo koju proizvoljnu lokaciju za prtljažnik, zbog sledećeg:

   • Bilo koja lokacija može koristiti prtljažnik u PSTN vezi.

   • Prtljažniku možete pristupiti kroz grupu ruta.

   • Bilo koji plan biranja može koristiti prtljažnik.

6. Pogledajte definicije prtljažnika sa povezanim lokacijama:

   

   Ove debla možete koristiti za kreiranje grupa ruta. Na slici je definisana grupa ruta rg_miami_Chicago koja rute poziva na trunk_ miami prtljažnik kao primarnu opciju i na trunk_ chicago deblo kao sekundarnu opciju.

   

   Možete da definišete drugu grupu ruta rg_chicago_miami koja usmerava pozive na trunk_ Chicago prtljažnik kao primarnu opciju i na trunk_ miami prtljažnik kao sekundarnu opciju.

7. Definisani trupci i grupe ruta sada su dostupni u PSTN opciji Pozivanje veze za svaku lokaciju. Na slici pogledajte lokaciju Denvera.

   

8. Možete koristiti debla i grupe ruta u definiciji plana biranja. Na primer, lokalni op seg brojeva u Čikagu za kupca je podeljen da bi se završio sa grupom ruta rg_chicago_miami (za sve lokacije) na slici:

   

   

Obezbeđivanje u obimu pomoću API-ja

Partneri koji upravljaju velikim brojem korisničkih organizacija mogu obezbediti domene u obimu koristeći API-je umesto korisničkog interfejsa.

• Potvrdite domen

• Usmeravanje poziva