Nätverkskrav för Webex Teams-tjänster
Den här artikeln skrevs ursprungligen på engelska och har maskinöversatts. Ingen garanti av något slag, varken uttrycklig eller underförstådd, görs avseende riktigheten, korrektheten eller tillförlitligheten hos de maskinöversättningar som görs från engelska till något annat språk. Cisco ansvarar inte för inkorrekt information, fel eller skador till följd av felaktig översättning av innehållet eller felaktig användning av informationen.
Nätverkskrav för Webex Teams-tjänsterRevisionshistorik för dokument Den här artikeln riktar sig till nätverksadministratörer, i synnerhet till brandväggs-, proxy- och webbsäkerhetsadministratörer. Den hjälper dig att konfigurera ditt nätverk så att det stöder Webex Teams (tidigare Cisco Spark). Nätverkskrav för klassiska Webex Meetings-klienter finns här WBX264 – Hur gör jag för att tillåta Webex Meetings-trafik på mitt nätverk?. Nätverkskrav för Webex TeamsAlla Webex Teams-appar och -enheter initierar endast utgående anslutningar. Ciscos Webex Cloud initierar aldrig anslutningar till Webex Teams-appar och -enheter. Webex Teams-tjänsterna finns i globalt distribuerade datacenter som antingen tillhör Cisco (t.ex. Webex-datacenter för identitetstjänster, viktiga hanteringstjänster och medieservrar) eller som ligger i Ciscos virtuella privata moln (VPC) på Amazons AWS-plattform (t.ex. Webex Teams-mikrotjänster, meddelande- och fillagringstjänster). Alla data är krypterade under överföring och i viloläge. Typer av trafikWebex Teams-appar och -enheter använder två typer av trafik: signalering och mediaSignaleringstrafik Webex Teams-appar och -enheter använder HTTPS och WSS (Secure WebSockets) för signalering. Signaleringstrafiken skyddas av TLS med hjälp av starka krypteringspaket (256-bitars eller 128-bitars symmetriska chiffernycklar, SHA-2-hash-funktioner). TLS chiffersviter som använder 256-bitars symmetriska chiffernycklar föredras, t.ex.: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 Endast version 1.2 och 1.1 av TLS stöds av Webex Teams-tjänsterna. Alla Webex Teams-funktioner utom realtidsmedier är beroende av TLS-signalering. Webex Teams-URL:er för signaleringstrafik Om du har distribuerat proxyservrar eller brandväggar för att filtrera trafik som lämnar företagets nätverk hittar du listan med destinations-URL:er som ska vitlistas för åtkomst till Webex Teams-tjänsten här Webex Teams-URL:er. Filtrering av Webex Teams-signaleringstrafik via IP-adress stöds inte eftersom IP-adresserna som används av Webex Teams är dynamiska och kan ändras när som helst. Mediatrafik Webex Teams-appar och -enheter använder realtidsmedier för att dela ljud-, video- och innehållsströmmar. Normalt* förs media från Webex Teams-appar eller -enheter över från användarens plats till medianoder i Webex Cloud, där strömmarna blandas och distribueras. Detta gäller alla samtalstyper, t.ex. 1:1-samtal och samtal med flera parter. (*Lokala videonätsnoder kan även användas för att blanda och distribuera media lokalt). Cisco skyddar alla Webex Teams-mediaströmmar med hjälp av Secure Real-Time Transport Protocol (SRTP), som beskrivs i RFC 3711. Cisco-appar och -enheter krypterar media med chiffersviten AES_CM_128_HMAC_SHA1_80. I linje med RFC 3711 rekommenderar Cisco starkt UDP som överföringsprotokoll för Webex Teams röst- och videomedieströmmar. Webex Teams-appar och -enheter har även stöd för TCP som ett reservprotokoll för medieöverföring. Cisco rekommenderar dock inte TCP som överföringsprotokoll för röst- och videomedieströmmar. Anledningen är att TCP är anslutningsorienterad och utformad för att på ett tillförlitligt sätt föra över korrekt ordnade data till protokoll på en högre nivå. Genom att använda TCP för avsändaren över förlorade paket igen tills de har godkänts och mottagaren buffrar paketströmmen tills de förlorade paketen har återställts. För medieströmmar visar sig detta beteende som ökad latens/jitter, vilket i sin tur påverkar mediekvaliteten som samtalets deltagare upplever. Webex Teams-apparna har även stöd för TLS (HTTPS) som ett tertiärt alternativ för medieöverföring. Om TLS används kan detta även innebära att den här Webex Teams-mediatrafiken behöver passera företagets proxyserver för att nå mediaservrarna i Webex Cloud. Eftersom proxyservrar främst är utformade för att snappa upp och vidarebefordra HTTP-baserad webbtrafik kan mediekvaliteten påverkas om proxyservern når sin prestandatröskel och tappar paket vid bearbetning av ett stort antal medieströmmar med hög bandbredd. Webex Teams-media flödar i båda riktningarna med hjälp av en symmetrisk, internt initierad, utgående 5-tuple-ström (käll-IP-adress, destinations-IP-adress, källport, destinationsport, protokoll) till Webex Cloud. Webex Teams använder även STUN (RFC 5389) för brandväggspassage och test av medianoders nåbarhet. Mer information finns här Webex Teams informationsdokument om brandväggar. Webex Teams – Intervall för destinations-IP-adress för media
Om du vill kontrollera destinationen för mediatrafik som lämnar företagets nätverk hittar du intervallet för destinations-IP-adresser för mediatrafik som skickas till Webex Teams media-noder här: Webex Teams IP-nätmasker för media Webex Teams-trafik genom proxyservrar och brandväggarDe flesta kunder har en internetbrandvägg, eller internet-proxyserver och brandvägg, för att begränsa och kontrollera den HTTP-baserade trafik som skickas till och från nätverket. Följ vägledningen om brandväggar och proxyservrar nedan för att ge åtkomst till Webex Teams-tjänsterna från nätverket.brandväggskonfigurationOm du bara använder en brandvägg bör du tänka på att filtrering av Webex Teams-signaleringstrafik med IP-adresser inte stöds eftersom IP-adresserna som används av Webex Teams-signalering är dynamiska och kan ändras när som helst. Om din brandvägg har stöd för URL-filtrering kan du vitlista destinations-URL:erna för Webex Teams som listas här Webex Teams-URL:er.Webex Teams-appar och -enheterI följande tabell beskrivs portar och protokoll som används av Webex Teams-appar och -enheter.
Webex Teams IP-nätmasker för media
Cisco varken stöder eller rekommenderar filtrering av IP-adresser för en viss geografisk region. Filtrering efter region kan avsevärt försämra mötesupplevelsen i Webex Teams, och kanske går det inte att delta i möten alls. (1) Användning av mediaport 33434 stöds inte längre, men för bakåtkompatibilitet kommer Webex Teams fortfarande att avsöka och använda de här portarna om 5004 inte är öppen. Obs! Klassiska Webex Meetings-klienter använder för närvarande UDP-port 9000 för media. Mer information finns här WBX264 – Hur gör jag för att tillåta Webex Meetings-trafik på mitt nätverk?. Konfiguration av proxyserverMånga organisationer använder proxyservrar för att inspektera och kontrollera användartrafiken från nätverket. Proxyservrar kan användas för att utföra flera säkerhetsfunktioner, som vit- och svartlistning av URL:er, användarautentisering, ryktessökning för IP-adress/domän/värdnamn/URI samt avkryptering och inspektion av trafik. De proxyfunktioner som är relevanta för Webex Teams beskrivs nedan. Webex Teams-URL:erI följande tabell beskrivs de URL:er som används av Webex Teams. Om din organisation använder en proxyserver måste du se till att det går att nå dessa URL:er. Information om hur Webex Teams hanterar data som skickas till dessa URL:er finns i informationsdokumentet om säkerhet och sekretess i Webex Teams.
** Webex Teams använder tredje part för insamling av diagnostik- och felsökningsdata samt insamling av krasch- och användningsmetrik. De data som kan skickas till dessa tredje parts webbplatser beskrivs i Webex sekretessdatablad. Mer information finns här: https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-webex-privacy-data-sheet.pdf Ytterligare URL:er för Webex Teams hybrid-tjänster
** Vi räknar med att fasa ut användningen av *.docker.com och *.docker.io för hybrid-tjänstebehållare och så småningom ersätta dem med *amazonaws.com. ProxyfunktionerStöd för proxyautentiseringProxyservrar kan användas som enheter för åtkomstkontroll som blockerar åtkomst till externa resurser tills användaren/enheten tillhandahåller giltiga inloggningsuppgifter för åtkomst till proxyservern. Proxyservrar har stöd för flera autentiseringsmetoder, som grundläggande autentisering, sammanfattad autentisering, (Windows-baserad) NTLM, Kerberos och Negotiate (Kerberos med NTLM som reserv).
(1): Mac NTLM-autentisering – Datorn behöver inte vara inloggad på domänen, användaren uppmanas ange lösenord Proxy-kontroll och certifikatassocieringWebex Teams validerar certifikaten för de system det kommunicerar med. Det gör detta genom att kontrollera att de certifikat som presenteras när en TLS-session etableras kan valideras mot listan med betrodda rotcertifikat som är installerad i enhetens operativsystem och PIN-koderna (hashvärden) för de offentliga nycklarna till de mellanliggande certifikaten som är installerade i Webex Teams-appen. Webex Teams ser också till att certifikat inte har utfärdats av en certifikatutfärdare som är känd för att vara skadlig eller opålitlig.
802.1X – Portbaserad kontroll av nätverksåtkomst
Cisco Webex-videonätCisco Webex-videonät tillhandahåller en destination för mediatrafik i ditt nätverk. I stället för att alla medier skickas till Webex Cloud kan de finnas kvar i ditt nätverk, för minskad bandbreddsanvändning och bättre mediekvalitet. Mer information finns i distributionsguiden för Cisco Webex-videonät.
|
| Käll-ID | Destinations-IP | Destinationsport | Protocol | Beskrivning | Enheter som använder den här regeln |
|---|---|---|---|---|---|
| Dina nätverk | ALLA | 123 | UDP | NTP tidssynkronisering | Webex Calling: Cisco-telefoner med inbyggd programvara för flera plattformar (MPP-telefoner): IP-telefoner 6800-serien IP-telefoner 7800-serien Konferenstelefon 7832 Videotelefoner 88x5 |
| Dina nätverk | ALLA | 3478 | UDP | TURN-server för ljud, video | |
| Dina nätverk | ALLA | 24000–29999, 36000–59999 | UDP | SRTP ljud- och videomedia | |
| Dina nätverk | ALLA | 5061 | TLS | SIP-signalering | |
| Dina nätverk | ALLA | 8443 | TLS | Signalering |
Revisionshistorik för dokument – Nätverkskrav för Webex Teams-tjänster
| Ändringsdatum | Ny och ändrad information |
| 2019-10-14 | Stöd för TLS-kontroll för rumsenheter har lagts till |
| 2019-09-16 | Krav för TCP-stöd för DNS-system som använder TCP som överföringskontroll har lagts till. URL:en *.walkme.com har lagts till – Denna tjänst tillhandahåller registrering och användningsrundturer för nya användare. De tjänst-URL:er som används av Web Assistant har ändrats. |
| 2019-08-28 | URL:en *.sparkpostmail1.com har lagts till e-posttjänst för nyhetsbrev, registreringsinformation, meddelanden |
| 2019-08-20 | Proxy-stöd har lagts till för videonätsnod och hybrid-datasäkerhetstjänst |
| 2019-08-15 | Översikt över Ciscos och AWS datacenter som används för Webex Teams-tjänsten. URL:en *.webexcontent.com har lagts till för fillagring Anmärkning om att clouddrive.com utgår för fillagring URL:en *.walkme.com har lagts till för metrik och testning |
| 2019-07-12 | URL:erna *.activate.cisco.com och *.webapps.cisco.com har lagts till URL:erna för text-till-tal har uppdaterats till *.speech-googleapis.wbx2.com och *.texttospeech-googleapis.wbx2.com URL:en *.quay.io har tagits bort URL:en för hybrid-tjänstbehållarna har uppdaterats till *.amazonaws.com |
| 2019-06-27 | Vitlistekrav för *.accompany.com har lagts till för funktionen People Insights |
| 2019-04-25 | ”Webex Teams-tjänster” har lagts till på rad om stöd för TLS-version. ”Webex Teams” har lagts till på rad om mediaströmmar under Mediatrafik. ”Geografisk” har lagts till före region i avsnittet Webex Teams IP-nätmasker för media. Andra mindre ändringar av formuleringen har gjorts. Tabellen med URL:er för Webex Teams har redigerats genom att URL:en för A/B testning och metrik har uppdaterats och en ny rad lagts till för Googles taltjänster. Versionsinfon ”10.1” har tagits bort efter AsyncOS i avsnittet ”Ytterligare URL:er för Webex Teams hybrid-tjänster”. Texten i avsnittet ”Stöd för proxyautentisering” har uppdaterats. |
| 2019-03-26 | URL:en som länkas här ”se konfigurationsdokument för WSA Webex Teams där du hittar vägledning” har ändrats från https://www.cisco.com/c/dam/en/us/products/collateral/security/web-security-appliance/guide-c07-739977.pdf till https://www.cisco.com/c/en/us/td/docs/security/wsa/wsa11-5/user_guide/b_WSA_UserGuide_11_5_1.html URL:en ”api.giphy.com” har ändrats till *.giphy.com |
| 2019-02-21 | ”Webex-samtal” har uppdaterats så att det står ”Webex-samtal (tidigare Spark-samtal)” efter begäran från John Costello, på grund av kommande lansering av en produkt med samma namn – Webex-samtal via BroadCloud. |
| 2019-02-06 | Texten ”Hybrid Media-nod” har uppdaterats till ”Webex-videonätsnod” |
| 2019-01-11 | Texten ”Filer som är krypterade från slutpunkt till slutpunkt och laddas upp till Webex Teams-utrymmen och Avatar-lagring” till ”Filer som är krypterade från slutpunkt till slutpunkt och laddas upp till Webex Teams-utrymmen, Avatar-lagring, Webex Teams-märkeslogotyper” |
| 2019-01-09 | Följande rad har tagits bort: ”För att Webex Teams-rumsenheter ska få det CA-certifikat som krävs för att validera kommunikation via din TLS-kontrollerande proxy kontaktar du din CSM eller öppnar ett ärende hos Cisco TAC.” |
| 5 december 2018 | URL:er som uppdaterats: ”https://” har tagits bort på fyra platser i tabellen med URL:er för Webex Teams: https://api.giphy.com -> api.giphy.com https://safebrowsing.googleapis.com -> safebrowsing.googleapis.com http://www.msftncsi.com/ncsi.txt -> msftncsi.com/ncsi.txt https://captive.apple.com/hotspot-detect.html -> captive.apple.com/hotspot-detect.html
|
| 30 november 2018 | Nya URL:er: *.ciscosparkcontent.com, *.storage101.ord1.clouddrive.com, *.storage101.dfw1.clouddrive.com, *.storage101.iad3.clouddrive.com, https://api.giphy.com, https://safebrowsing.googleapis.com, http://www.msftncsi.com/ncsi.txt, https://captive.apple.com/hotspot-detect.html, *.segment.com, *.segment.io, *.amplitiude.com,*.eum-appdynamics.com, *.docker.io, *.core-os.net, *.s3.amazonaws.com, *.identity.api.rackspacecloud.com |
| Stöd för ytterligare proxyautentiseringsmetoder för Windows, iOS och Android | |
| Webex Board får rumsenheternas operativsystem och funktioner. Proxyfunktioner som delas av rumsenheter: SX, DX, MX, Room Kit-serier och Webex Board | |
| Stöd för TLS-kontroll via iOS- och Android-appar | |
| Stöd för TLS-kontroll har tagits bort från rumsenheter: SX, DX, MX, Room Kit-serier och Webex Board | |
| Webex Board får rumsenhetens operativsystem och funktioner. Stöd för 802.1X | |
| 21 november 2018 | Följande anmärkning har lagts till i avsnittet IP-nätmasker för media: Listan med IP-intervall för molnmediaresurser ovan är inte fullständig och det kan finnas andra IP-intervall som används av Cisco Webex Teams som inte finns med i listan ovan. Webex Teams-appen och -enheterna kan dock fungera normalt utan att kunna ansluta till de media-IP-adresser som inte listas. |
| 19 oktober 2018 | Anmärkning tillagd: Webex Teams använder tredje part för insamling av diagnostik- och felsökningsdata samt insamling av krasch- och användningsmetrik. De data som kan skickas till dessa tredje parts webbplatser beskrivs i Webex sekretessdatablad. Mer information finns här: https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-webex-privacy-data-sheet.pdf |
| Separat tabell för ytterligare URL:er som används av hybrid-tjänster: *.cloudfront.net, *.docker.com, *.quay.io, *.cloudconnector.cisco.com, *.clouddrive.com | |
| 7 augusti 2018 | Anmärkning tillagd i tabellen med portar och protokoll: Om du konfigurerar en lokal NTP- och DNS-server i videonätsnodens OVA behöver port 53 och 123 inte öppnas via brandväggen. |
| 7 maj 2018 | Större dokumentrevision |
