Tahsis Edilmiş Örnek için Ağ Gereksinimleri

Fiziksel Güvenlik

Equinix Meet-Me Room konumlarına ve Cisco fiziksel güvenlik sağlamak önemlidir Özel Örnek Veri Merkezi tesisleri. Fiziksel güvenlik tehlikeye girdiğinde, müşterinin anahtarlarına giden gücü kapatarak hizmet kesintisi gibi basit saldırılar başlatılabilir. Fiziksel erişim ile saldırganlar sunucu cihazlarına erişebilir, parolaları sıfırlayabilir ve anahtarlara erişim sağlayabilir. Fiziksel erişim ayrıca ortadaki adam saldırıları gibi daha karmaşık saldırıları da kolaylaştırır, bu nedenle ikinci güvenlik katmanı olan ağ güvenliği kritiktir.

Kendiliğinden Şifrelemeli sürücüler şu alanlarda kullanılır: Özel Örnek UC uygulamalarını barındıran Veri Merkezleri.

Genel güvenlik uygulamaları hakkında daha fazla bilgi için aşağıdaki konumdaki belgelere bakın: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Ağ Güvenliği

Ortakların, tüm ağ öğelerinin güvenli olduğundan emin olmaları gerekir. Özel Örnek altyapı (Equinix üzerinden bağlanır). Aşağıdakiler gibi en iyi yöntemler sağlamak iş ortağının sorumluluğundadır:

• Ses ve veri için ayrı VLAN

• CAM tablosu taşmasına karşı bağlantı noktası başına izin verilen MAC adresi sayısını sınırlayan Bağlantı Noktası Güvenliğini Etkinleştir

• Sahte IP adreslerine karşı IP Kaynak Koruması

• Dinamik ARP Denetimi (DAI), ihlaller (ARP sahtekarlığına karşı) için adres çözümleme protokolünü (ARP) ve karşılıksız ARP'yi (GARP) inceler

• 802.1x atanan VLAN'larda cihazların kimliğini doğrulamak için ağ erişimini sınırlar (telefonlar 802'yi destekler.1x )

• Ses paketlerinin uygun şekilde işaretlenmesi için hizmet kalitesi (QoS) yapılandırması

• Diğer trafiği engellemek için güvenlik duvarı bağlantı noktası yapılandırmaları

Uç Nokta Güvenliği

Cisco uç noktaları, uç noktalar için belirli bir güvenlik düzeyi sağlayan imzalı ürün yazılımı, güvenli önyükleme (seçilen modeller), üretici tarafından yüklenen sertifika (MIC) ve imzalı yapılandırma dosyaları gibi varsayılan güvenlik özelliklerini destekler.

Ayrıca, bir iş ortağı veya müşteri, aşağıdakiler gibi ek güvenlik sağlayabilir:

• Extension Mobility gibi hizmetler için IP telefonu hizmetlerini (HTTPS aracılığıyla) şifreleyin

• sertifika yetkilisi proxy işlevi (CAPF) veya bir genel sertifika yetkilisinden (CA) yerel olarak önemli sertifikalar (LSC'ler) yayınlayın

• Yapılandırma dosyalarını şifreleyin

• Medya ve sinyallemeyi şifreleyin

• Kullanılmıyorlarsa bu ayarları devre dışı bırakın: bilgisayar bağlantı noktası, bilgisayar Sesli VLAN Erişimi, Ücretsiz ARP, Web Erişimi, Ayarlar düğmesi, SSH, konsol

Güvenlik mekanizmalarını uygulamada Özel Örnek telefonların ve Unified CM sunucusu kimlik hırsızlığını, verilerin kurcalanmasını ve çağrı sinyali / medya akışı kurcalanmasını önler.

Özel Örnek ağ üzerinden:

• Kimliği doğrulanmış iletişim akışlarını kurar ve sürdürür

• Dosyayı telefona aktarmadan önce dosyaları dijital olarak imzalar

• Cisco Unified IP telefonları arasındaki medya akışlarını ve çağrı sinyallerini şifreler

Güvenli UC Uygulamaları

Cisco Unified CM ve CUBE Arasındaki İletişimin Güvenliğini Sağlama

Cisco Unified CM ve CUBE arasında güvenli iletişim için iş ortaklarının/müşterilerinin kendinden imzalı sertifika veya CA imzalı sertifikalar kullanması gerekir.

Kendinden imzalı sertifikalar için:

1. CUBE ve Cisco Unified CM , kendinden imzalı sertifikalar oluşturur

2. CUBE, sertifikayı Cisco Unified CM aktarır

3. Cisco Unified CM , sertifikayı CUBE'a aktarır

CA imzalı sertifikalar için:

1. Müşteri bir anahtar çifti oluşturur ve Sertifika Yetkilisi (CA) bir Sertifika İmzalama İsteği ( CSR ) gönderir

2. CA, bunu kendi özel anahtarıyla imzalayarak bir Kimlik Sertifikası oluşturur.

3. İstemci, güvenilir CA Kök ve Aracı Sertifikaları ve Kimlik Sertifikası listesini yükler

Protokol Özeti

Aşağıdaki tablo, Unified CM çözümünde kullanılan protokolleri ve ilgili hizmetleri gösterir.

MRA yapılandırması hakkında daha fazla bilgi için bkz. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

SIP OAuth ile Jabber ve Webex güvenliğini sağlama

Jabber ve Webex istemcilerinin kimliği, yerel önemli sertifika (LSC) yerine bir OAuth belirteci aracılığıyla doğrulanır; bu sertifika yetkilisi proxy işlevi (CAPF) etkinleştirmesini (MRA için de) gerektirmez. Karma modla veya karma mod olmadan çalışan SIP OAuth, Cisco Unified CM 12.5(1), Jabber 12.5 ve Expressway X12.5'te tanıtıldı.

Cisco Unified CM 12.5'te, SIP REGISTER'da tek Taşıma Katmanı Güvenliği (TLS ) + OAuth belirteci kullanarak LSC/ CAPF olmadan şifrelemeyi sağlayan Telefon Güvenlik Profili'nde yeni bir seçeneğimiz var. Expressway-C düğümleri, Cisco Unified CM sertifikalarında SN/SAN hakkında bilgilendirmek için Yönetimsel XML Web Hizmeti (AXL) API kullanır. Cisco Unified CM , karşılıklı bir TLS bağlantısı kurarken Exp-C sertifikasını doğrulamak için bu bilgileri kullanır.

SIP OAuth, bir uç nokta sertifikası (LSC) olmadan medya ve sinyal şifrelemesine olanak tanır.

Cisco Jabber , yapılandırma dosyalarını indirmek için TFTP sunucusuna HTTPS bağlantısı üzerinden Geçici bağlantı noktalarını ve güvenli bağlantı noktaları 6971 ve 6972 bağlantı noktalarını kullanır. Bağlantı noktası 6970, HTTP aracılığıyla indirme için güvenli olmayan bir bağlantı noktasıdır.

SIP OAuth yapılandırması hakkında daha fazla ayrıntı: SIP OAuth Modu .