Fiziksel güvenlik

Equinix Meet-Me Room konumlarına ve Cisco Özel Bulut Sunucusu Veri Merkezi tesislerine fiziksel güvenlik sağlamak önemlidir. Fiziksel güvenlik tehlikeye girdiğinde, müşterinin anahtarlarına giden gücü kapatarak hizmet kesintisi gibi basit saldırılar başlatılabilir. Fiziksel erişimle saldırganlar sunucu cihazlarına erişebilir, şifreleri sıfırlayabilir ve anahtarlara erişebilir. Fiziksel erişim ayrıca orta adam saldırıları gibi daha karmaşık saldırıları kolaylaştırır, bu nedenle ikinci güvenlik katmanı olan ağ güvenliği kritiktir.

Kendi Kendini Şifreleyen sürücüler, UC uygulamalarını barındıran Özel Bulut Sunucu Veri Merkezlerinde kullanılır.

Genel güvenlik uygulamaları hakkında daha fazla bilgi için aşağıdaki konumdaki belgelere bakın: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Ağ güvenliği

İş ortaklarının tüm ağ öğelerinin Adanmış Bulut Sunucu altyapısında (Equinix üzerinden bağlanan) güvence altına alınmasını sağlamaları gerekir. Aşağıdakiler gibi en iyi güvenlik uygulamalarını sağlamak iş ortağının sorumluluğundadır:

• Ses ve veri için ayrı VLAN

• CAM tablo taşmasına karşı bağlantı noktası başına izin verilen MAC adresi sayısını sınırlayan Bağlantı Noktası Güvenliğini Etkinleştir

• Sahte IP adreslerine karşı IP Kaynak Koruması

• Dinamik ARP Denetimi (DAI), adres çözümleme protokolünü (ARP) ve ücretsiz ARP'yi (GARP) ihlaller için inceler (ARP sahtekarlığına karşı)

• 802.1x, atanmış VLAN'lardaki aygıtları doğrulamak için ağ erişimini sınırlar (telefonlar 802.1x'i destekler)

• Ses paketlerinin uygun şekilde işaretlenmesi için hizmet kalitesi (QoS) konfigürasyonu

• Diğer trafiği engellemek için güvenlik duvarı bağlantı noktası yapılandırmaları

Uç nokta güvenliği

Cisco uç noktaları, imzalı ürün yazılımı, güvenli önyükleme (seçilen modeller), üretici tarafından yüklenen sertifika (MIC) ve uç noktalar için belirli bir güvenlik seviyesi sağlayan imzalı yapılandırma dosyaları gibi varsayılan güvenlik özelliklerini destekler.

Buna ek olarak, bir iş ortağı veya müşteri aşağıdakiler gibi ek güvenlik etkinleştirebilir:

• Gibi hizmetler için IP telefon hizmetlerini (HTTPS aracılığıyla) şifreleyin Extension Mobility

• Sertifika yetkilisi proxy işlevinden (CAPF) veya genel sertifika yetkilisinden (CA) yerel olarak önemli sertifikalar (LSC'ler) verin

• Yapılandırma dosyalarını şifreleyin

• Medyayı ve sinyallemeyi şifreleyin

• Kullanılmazlarsa bu ayarları devre dışı bırakın: PC bağlantı noktası, PC Ses VLAN Erişimi, Ücretsiz ARP, Web Erişimi, Ayarlar düğmesi, SSH, konsol

Özel Bulut Sunucusunda güvenlik mekanizmaları uygulamak, telefonların ve Unified CM sunucunun kimlik hırsızlığını, veri kurcalamasını ve çağrı sinyalizasyonu/medya akışı kurcalamasını önler.

Ağ üzerinden Özel Bulut Sunucusu:

• Kimliği doğrulanmış iletişim akışlarını oluşturur ve korur

• Dosyayı telefona aktarmadan önce dosyaları dijital olarak imzalar

• Cisco Unified IP telefonları arasındaki medya akışlarını ve çağrı sinyallerini şifreler

Varsayılan olarak güvenlik, Cisco Unified IP telefonları için aşağıdaki otomatik güvenlik özelliklerini sağlar:

• Telefon yapılandırma dosyalarının imzalanması

• Telefon yapılandırma dosyası şifreleme desteği

• Tomcat ve diğer Web servisleri (MIDlets) ile HTTPS

Unified CMSürüm 8.0 sonrası için, bu güvenlik özellikleri, Sertifika Güven Listesi (CTL) istemcisini çalıştırmadan varsayılan olarak sağlanır.

Bir ağda çok sayıda telefon bulunduğundan ve IP telefonların sınırlı belleği olduğundan, Güven Doğrulama Hizmeti (TVS) aracılığıyla uzak bir güven deposu Cisco Unified CM görevi görür, böylece her telefona bir sertifika güven deposu yerleştirilmesi gerekmez. Cisco IP telefonları, CTL veya ITL dosyaları aracılığıyla bir imza veya sertifikayı doğrulayamadıkları için doğrulama için TVS sunucusuna başvurur. Merkezi bir güven deposuna sahip olmak, her Cisco Unified IP telefonunda güven deposuna sahip olmaktan daha kolaydır.

TVS, Cisco Unified IP telefonlarının HTTPS kurulumu sırasında EM hizmetleri, dizin ve MIDlet gibi uygulama sunucularını doğrulamasını sağlar.

Başlangıç Güven Listesi (ITL) dosyası, uç noktal arın güvenebilmesi için ilk güvenlik için kullanılır. Cisco Unified CM ITL'nin açıkça etkinleştirilmesi için herhangi bir güvenlik özelliğine ihtiyacı yoktur. Küme yüklendiğinde ITL dosyası otomatik olarak oluşturulur. Unified CMTrivial File Transfer Protocol (TFTP) sunucusunun özel anahtarı ITL dosyasını imzalamak için kullanılır.

Cisco Unified CMKüme veya sunucu güvenli olmayan moddayken, ITL dosyası desteklenen her Cisco IP telefonuna indirilir. İş ortağı, admin: show itl ad min:show itl komutunu kullanarak bir ITL dosyasının içeriğini görüntüleyebilir.

Cisco IP telefonları aşağıdaki görevleri gerçekleştirmek için ITL dosyasına ihtiyaç duyar:

• Yapıl andırma dosyası şifrelemesini desteklemek için bir ön koşul olan CAPF ile güvenli bir şekilde iletişim kurun

• Yapılandırma dosyası imzasını doğrulayın

• TVS kullanarak HTTPS kurulumu sırasında EM hizmetleri, dizin ve MIDlet gibi uygulama sunucularını doğrulayın

Aygıt, dosya ve sinyal kimlik doğrulaması, iş ortağı veya müşteri Cisco Sertifika Güven Listesi İstemcisini yükleyip yapılandırdığında oluşturulan Sertifika Güven Listesi (CTL) dosyasının oluşturulmasına dayanır.

CTL dosyası aşağıdaki sunucular veya güvenlik belirteçleri için girişler içerir:

• Sistem Yöneticisi Güvenlik Simgesi (SAST)

• Cisco CallManagerve aynı sunucuda çalışan Cisco TFTP hizmetleri

• Certificate AuthorityProxy İşlevi (CAPF)

• TFTP sunucu (lar)

• ASA güvenlik duvarı

CTL dosyası, her sunucu için bir sunucu sertifikası, ortak anahtar, seri numarası, imza, yayıncı adı, konu adı, sunucu işlevi, DNS adı ve IP adresi içerir.

CTL ile telefon güvenliği aşağıdaki işlevleri sağlar:

• Bir imzalama anahtarı kullanarak TFTP indirilen dosyaların (yapılandırma, yerel ayar, zil listesi vb.) Kimlik doğrulaması

• İmzalama anahtarı kullanarak TFTP yapılandırma dosyalarının şifrelenmesi

• IP telefonlar için şifreli çağrı sinyali

• IP telefonlar için şifreli arama sesi (medya)

Özel Bulut Sunucusu, uç nokta kaydı ve çağrı işleme sağlar. Uç noktalar Cisco Unified CM arasındaki sinyal, Secure Skinny Client Control Protocol (SCCP) veya Session Initiation Protocol (SIP) temel alır ve Aktarım Katmanı Güvenliği (TLS) kullanılarak şifrelenebilir. Uç noktalardan gelen medya Gerçek Zamanlı Aktarım Protokolü'ne (RTP) dayanır ve Güvenli RTP (SRTP) kullanılarak şifrelenebilir.

Karışık modun etkinleştiril Unified CM mesi, Cisco uç noktalarından gelen ve giden sinyal ve medya trafiğinin şifrelenmesini sağlar.

Güvenli UC uygulamaları

Karışık mod, Özel Bulut Sunucunda varsayılan olarak etkindir.

Özel Bulut Sunucunda karışık modun etkinleştirilmesi, Cisco uç noktalarından gelen ve Cisco uç noktalarına giden sinyal ve medya tra fiğinin şifrelenmesini gerçekleştirme olanağı sağlar.

12.5 (1) sürümünden itibaren, Jabber ve Webex istemcileri için karma mod/CTL yerine SIP OAuth tabanlı sinyal ve ortamın şifrelenmesini etkinleştirmek için yeni bir seçenek eklendi. Cisco Unified CM Bu nedenle, 12.5 (1) Unified CM sürüm ünde, Jabber veya Webex istemcileri için sinyal ve ortam için şifrelemeyi etkinleştirmek için SIP OAuth ve SRTP kullanılabilir. Şu anda Cisco IP telefonları ve diğer Cisco uç noktal arı için karma modun etkinleştirilmesi gerekli olmaya devam ediyor. Gelecekteki bir sürümde 7800/8800 uç noktalarında SIP OAuth desteği eklemek için bir plan var.

CUBE arasındaki iletişimi güven Cisco Unified CM ce altına almak

CUBE arasındaki güvenli iletişim için iş ortak Cisco Unified CM larının/müşterilerin kendi imzalı sertifika veya CA imzalı sertifikaları kullanmaları gerekir.

Kendi kendine imzalanan sertifikalar için:

1. CUBE ve kendinden im Cisco Unified CM zalı sertifikalar oluşturun

2. CUBE sertifikasını ihraç eder Cisco Unified CM

3. Cisco Unified CMCUBE'ye ihraç sertifikası

CA imzalı sertifikalar için:

1. İstemci bir anahtar çifti oluşturur ve (CA) Sertifika İmzalama İsteği (CSR) gönderir Certificate Authority

2. CA, özel anahtarıyla imzalayarak bir Kimlik Sertifikası oluşturur

3. İstemci, güvenilir CA Kök ve Aracı Sertifikaların listesini ve Kimlik Sertifikasını yükler

Protokol özeti

Aşağıdaki tabloda çözümde kullanılan protokoller ve ilişkili hizmetler gösteril Unified CM mektedir.

MRA yapılandırması hakkında daha fazla bilgi için bkz. Mobil ve Dağıtım Kılavuzu'nun MRA Dağıtım Senaryol Remote Access arı bölümü Cisco Expressway .

Jabber ve Webex'i SIP OAuth ile Güvenceye Alma

Jabber ve Webex istemcilerinin kimliği, sertifika yetkilisi proxy işlevi (CAPF) etkinleştirme gerektirmeyen yerel olarak önemli bir sertifika (LSC) yerine bir OAuth belirteci aracılığıyla doğrulanır (MRA için de). Karışık modlu veya modsuz çalışan SIP OAuth Cisco Unified CM 12.5 (1) ve sonraki sürümlerde, Jabber 12.5 ve sonraki sürümlerde ve Expressway X12.5 sürümlerinde tanıtıldı.

Cisco Unified CM12.5 ve sonraki sürümlerde, Telefon Güvenlik Profilinde, SIP REGISTER'de tek Aktarım Katmanı Güven liği (TLS) + OAuth belirteci kullanarak LSC/CAPF olmadan şifrelemeyi sağlayan yeni bir seçeneğimiz var. Expressway-C düğümleri, sertifikalarındaki SN/SAN hakkında bilgi vermek için Yönetimsel XML Web Hizmeti (AXL) API'sini kullanır. Cisco Unified CM Cisco Unified CMkarşılıklı bir TLS bağlantısı kurarken Exp-C sertifikasını doğrulamak için bu bilgileri kullanır.

SIP OAuth, uç nokta sertifikası (LSC) olmadan medya ve sinyal şifrelemesini sağlar.

Cisco JabberYapılandırma dosyalarını indirmek için TFTP sunucusuna HTTPS bağlantısı üzerinden Geçici bağlantı noktaları ve 6971 ve 6972 güvenli bağlantı noktaları kullanır. Port 6970, HTTP üzerinden indirmek için güvenli olmayan bir bağlantı noktasıdır.

SIP OAuth yapılandırması hakkında daha fazla ayrıntı: SIP O Auth Modu.