Вимоги до мережі для виділеного екземпляра

Виділений екземпляр Webex Calling є частиною портфоліо Cisco Cloud Calling, що базується на технології співпраці Cisco Unified Communications Manager (Cisco Unified CM). Виділений екземпляр пропонує рішення для голосу, відео, обміну повідомленнями та мобільності з функціями та перевагами IP-телефонів Cisco, мобільних пристроїв і клієнтів для настільних ПК, які безпечно підключаються до виділеного екземпляра.

Ця стаття призначена для адміністраторів мережі, зокрема адміністраторів брандмауера та безпеки проксі, які хочуть використовувати виділений екземпляр у своїй організації.

Огляд безпеки: Безпека в шарах

Виділений екземпляр використовує багаторівневий підхід для безпеки. Шари включають:

  • Фізичний доступ

  • Мережа

  • Термінальні пристрої

  • програми UC

У наступних розділах описано рівні безпеки в розгортаннях виділеного екземпляра.

Фізична безпека

Важливо забезпечити фізичну безпеку розташувань кімнат Equinix MeetMe і об’єктів центру обробки даних Cisco Dedicated Instance. Коли фізична безпека скомпрометована, можуть бути ініційовані прості атаки, як-от порушення роботи служби через відключення живлення комутаторів клієнта. Завдяки фізичному доступу зловмисники можуть отримати доступ до серверних пристроїв, скинути паролі та отримати доступ до комутаторів. Фізичний доступ також сприяє більш складним атакам, як-от атаки «людина посередині», тому другий рівень безпеки, мережева безпека, є критичним.

Диски з самошифруванням використовуються у виділених центрах обробки даних екземпляра, де розміщено програми UC.

Додаткову інформацію про загальні методи безпеки див. в документації за таким розташуванням: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html .

Безпека мережі

Партнери повинні переконатися, що всі елементи мережі захищені в інфраструктурі виділеного екземпляра (яка підключається через Equinix). Партнер несе відповідальність за забезпечення оптимальних методів безпеки, як-от:

  • Окрема VLAN для голосу та даних

  • Увімкніть безпеку портів, яка обмежує кількість MAC-адрес, дозволених на порт, проти заповнення таблиці CAM

  • Захист джерела IP від підроблених IP-адрес

  • Динамічна перевірка ARP (DAI) перевіряє протокол дозволу адрес (ARP) і безоплатний ARP (GARP) на предмет порушень (проти спуфінгу ARP).

  • 802.1x обмежує доступ до мережі для автентифікації пристроїв у призначених VLAN (телефони підтримують 802.1x)

  • Конфігурація якості обслуговування (QoS) для відповідного маркування голосових пакетів

  • Конфігурації портів брандмауера для блокування будь-якого іншого трафіку

Безпека кінцевих пристроїв

Кінцеві пристрої Cisco підтримують функції безпеки за замовчуванням, як-от підписане мікропрограмне забезпечення, безпечне завантаження (вибрані моделі), установлений виробником сертифікат (MIC) і підписані файли конфігурації, які забезпечують певний рівень безпеки для кінцевих пристроїв.

Крім того, партнер або клієнт може ввімкнути додатковий захист, як-от:

  • Шифруйте служби IP-телефонії (через HTTPS) для таких служб, як Extension Mobility

  • Випускати локально значущі сертифікати (LSC) з функції проксі-сертифікатора (CAPF) або загальнодоступного центру сертифікації (CA)

  • Зашифруйте файли конфігурації

  • Шифруйте медіа та сигналізацію

  • Вимкніть ці налаштування, якщо вони не використовуються: Порт ПК, голосовий доступ до VLAN ПК, безкоштовний ARP, вебдоступ, кнопка налаштувань, SSH, консоль

Запровадження механізмів безпеки у виділеному екземплярі запобігає крадіжці особистих даних телефонів і сервера Unified CM, підробці даних і сигналізації викликів / медіапотоку.

Виділений екземпляр через мережу:

  • Встановлює та підтримує автентифіковані потоки зв’язку

  • Перед передаванням файлу на телефон підписує файли цифровим підписом

  • Шифрує медіапотоки та сигналізацію викликів між IP-телефонами Cisco Unified

Налаштування безпеки за замовчуванням

Безпека за замовчуванням забезпечує такі автоматичні функції безпеки для IP-телефонів Cisco Unified:

  • Підписання файлів конфігурації телефону

  • Підтримка шифрування файлів конфігурації телефону

  • HTTPS з Tomcat та іншими вебслужбами (MIDlets)

Для Unified CM версії 8.0 пізніше ці функції безпеки надаються за замовчуванням без запуску клієнта списку довірених сертифікатів (CTL).

Служба перевірки довіри

Оскільки в мережі існує велика кількість телефонів, а пам’ять IP-телефонів обмежена, Cisco Unified CM діє як віддалене сховище довіри через службу перевірки довіри (TVS), тому сховище довіри сертифікатів не потрібно розміщувати на кожному телефоні. IP-телефони Cisco звертаються до сервера TVS для перевірки, оскільки вони не можуть перевірити підпис або сертифікат за допомогою файлів CTL або ITL. Керувати центральним сховищем довіри легше, ніж сховищем на кожному IP-телефоні Cisco Unified.

TVS дозволяє IP-телефонам Cisco Unified автентифікувати сервери застосунків, як-от служби EM, каталоги та MIDlet, під час встановлення HTTPS.

Початковий список довіри

Файл початкового списку довіри (ITL) використовується для початкової безпеки, щоб кінцеві пристрої могли довіряти Cisco Unified CM. Для явного ввімкнення ITL не потрібно жодних функцій безпеки. Файл ITL автоматично створюється після встановлення кластера. Закритий ключ сервера Unified CM Trivial File Transfer Protocol (TFTP) використовується для підпису файлу ITL.

Коли кластер або сервер Cisco Unified CM перебуває в незахищеному режимі, файл ITL завантажується на кожен підтримуваний IP-телефон Cisco. Партнер може переглядати вміст файлу ITL за допомогою команди CLI, admin:show itl.

IP-телефонам Cisco необхідний файл ITL для виконання таких завдань:

  • Безпечний зв’язок із CAPF, що є обов’язковою умовою підтримки шифрування файлів конфігурації

  • Автентифікація підпису файлу конфігурації

  • Автентифікувати сервери застосунків, як-от служби EM, каталоги та MIDlet під час встановлення HTTPS за допомогою TVS

Cisco CTL

Автентифікація пристрою, файлу й сигналізації залежить від створення файлу списку довірених сертифікатів (CTL), який створюється, коли партнер або клієнт встановлює та налаштовує клієнт списку довірених сертифікатів Cisco.

Файл CTL містить записи для таких серверів або маркерів безпеки:

  • Маркер безпеки системного адміністратора (SAST)

  • Служби Cisco CallManager і Cisco TFTP, які запущені на одному сервері

  • Функція проксі центру сертифікації (CAPF)

  • сервер(-и) TFTP

  • брандмауер ASA

Файл CTL містить сертифікат сервера, відкритий ключ, серійний номер, підпис, ім’я емітента, ім’я теми, функцію сервера, ім’я DNS та IP-адресу для кожного сервера.

Безпека телефону за допомогою CTL надає такі функції:

  • Автентифікація завантажених файлів TFTP (конфігурація, мовні стандарти, список викликів тощо) за допомогою ключа підпису

  • Шифрування файлів конфігурації TFTP за допомогою ключа підпису

  • Зашифрована сигналізація викликів для IP-телефонів

  • Зашифроване аудіо виклику (медіа) для IP-телефонів

Безпека для IP-телефонів Cisco у виділеному екземплярі

Виділений екземпляр забезпечує реєстрацію кінцевої точки та обробку викликів. Передача сигналів між Cisco Unified CM і кінцевими точками базується на протоколі Secure Skinny Client Control Protocol (SCCP) або Session Initiation Protocol (SIP) і може бути зашифрована за допомогою безпеки транспортного рівня (TLS). Медіафайли від або до кінцевих пристроїв базуються на протоколі реального часу (RTP) і можуть бути зашифровані за допомогою безпечного RTP (SRTP).

Увімкнення змішаного режиму на Unified CM увімкне шифрування сигналізації та медіатрафіку від та до кінцевих пристроїв Cisco.

Захищені програми UC

Увімкнення змішаного режиму у виділеному екземплярі

Змішаний режим увімкнено за замовчуванням у виділеному екземплярі.

Увімкнення змішаного режиму у виділеному екземплярі дає змогу виконувати шифрування сигнального та медіатрафіку від і до кінцевих пристроїв Cisco.

У випуску Cisco Unified CM 12.5(1) для клієнтів Jabber і Webex було додано новий параметр для ввімкнення шифрування сигналізації та медіа на основі SIP OAuth замість змішаного режиму / CTL. Тому у випуску Unified CM 12.5(1) SIP OAuth і SRTP можна використовувати для ввімкнення шифрування для сигналізації та медіа для клієнтів Jabber або Webex. Зараз увімкнення змішаного режиму є обов’язковим для IP-телефонів Cisco та інших кінцевих пристроїв Cisco. У майбутньому випуску планується додати підтримку SIP OAuth на кінцеві пристрої 7800/8800.

Безпека обміну голосовими повідомленнями

Cisco Unity Connection підключається до Unified CM через порт TLS. Якщо режим безпеки пристрою не є безпечним, Cisco Unity Connection підключається до Unified CM через порт SCCP.

Щоб налаштувати безпеку для портів обміну голосовими повідомленнями Unified CM і пристроїв Cisco Unity, які використовують SCCP, або пристроїв Cisco Unity Connection, які використовують SCCP, партнер може вибрати для порту режим безпеки безпечного пристрою. Якщо вибрати автентифікований порт голосової пошти, відкриється з’єднання TLS, яке автентифікує пристрої за допомогою взаємного обміну сертифікатами (кожен пристрій приймає сертифікат іншого пристрою). Якщо вибрати зашифрований порт голосової пошти, система спочатку автентифікує пристрої, а потім надсилатиме зашифровані голосові потоки між пристроями.

Додаткову інформацію про порти обміну голосовими повідомленнями безпеки див. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_01_010

Безпека для SRST, транків, шлюзів, CUBE/SBC

Шлюз Cisco Unified Survivable Remote Site Telephony (SRST) надає обмежені завдання з обробки викликів, якщо Cisco Unified CM у виділеному екземплярі не може завершити виклик.

Захищені шлюзи з підтримкою SRST містять самопідписаний сертифікат. Після того як партнер виконує завдання з конфігурації SRST в Unified CM Administration, Unified CM використовує підключення TLS для автентифікації за допомогою служби постачальника сертифікатів на шлюзі з підтримкою SRST. Потім Unified CM отримує сертифікат зі шлюзу з підтримкою SRST і додає сертифікат до бази даних Unified CM.

Після того як партнер скидає залежні пристрої в Unified CM Administration, сервер TFTP додає сертифікат шлюзу з підтримкою SRST до файлу cnf.xml телефону та надсилає файл на телефон. Потім захищений телефон використовує підключення TLS для взаємодії зі шлюзом із підтримкою SRST.

Рекомендовано мати захищені транки для виклику, що йде від Cisco Unified CM до шлюзу для вихідних викликів ТМЗК або проходження через Cisco Unified Border Element (CUBE).

SIP-транки можуть підтримувати захищені виклики як для сигналізації, так і для медіа; TLS забезпечує шифрування сигналів, а SRTP забезпечує шифрування медіа.

Захист зв’язку між Cisco Unified CM і CUBE

Для безпечного зв’язку між Cisco Unified CM і CUBE партнери/клієнти повинні використовувати або самопідписані сертифікати, або сертифікати, підписані CA.

Для самопідписаних сертифікатів:

  1. CUBE і Cisco Unified CM створюють самопідписані сертифікати

  2. CUBE експортує сертифікат до Cisco Unified CM

  3. Cisco Unified CM експортує сертифікат до CUBE

Для підписаних CA сертифікатів:

  1. Клієнт створює пару ключів і надсилає запит на підпис сертифіката (CSR) до центру сертифікації (CA).

  2. CA підписує його своїм закритим ключем, створюючи сертифікат посвідчення

  3. Клієнт встановлює список довірених кореневих сертифікатів CA та посередників, а також сертифікат посвідчення

Безпека для віддалених кінцевих пристроїв

За допомогою кінцевих пристроїв мобільного та віддаленого доступу (MRA) сигналізація та медіа завжди шифруються між кінцевими точками MRA та вузлами Expressway. Якщо для кінцевих пристроїв MRA використовується протокол встановлення інтерактивного з’єднання (ICE), потрібна передача сигналів і шифрування медіа для кінцевих пристроїв MRA. Однак шифрування сигналів і медіа між Expressway-C і внутрішніми серверами Unified CM, внутрішніми кінцевими пристроями або іншими внутрішніми пристроями вимагає змішаного режиму або SIP OAuth.

Cisco Expressway забезпечує безпечний обхід брандмауером і підтримку на стороні лінії для реєстрацій Unified CM. Unified CM забезпечує керування викликами як для мобільних, так і для локальних кінцевих пристроїв. Передача сигналів здійснюється через рішення Expressway між віддаленим кінцевим пристроєм і Unified CM. Медіафайли обходяться рішенням Expressway і передаються між кінцевими точками безпосередньо. Усі медіафайли між Expressway-C і мобільним кінцевим пристроєм шифруються.

Будь-яке рішення MRA вимагає Expressway і Unified CM з MRA-сумісними програмними клієнтами та/або фіксованими кінцевими точками. Рішення може додатково включати службу IM, Presence Service і Unity Connection.

Зведення протоколу

У таблиці нижче показано протоколи та пов’язані служби, що використовуються в рішенні Unified CM.

Таблиця 1. Протоколи та пов’язані служби

Протокол

Безпека

Служба

SIP

TLS

Встановлення сеансу: Зареєструватися, запросити тощо.

HTTPS

TLS

Вхід, підготовка/конфігурація, каталог, візуальна голосова пошта

Мультимедійний вміст

SRTP

Медіа: Спільний доступ до аудіо, відео, контенту

XMPP

TLS

Обмін миттєвими повідомленнями, присутність, об’єднання

Додаткову інформацію про конфігурацію MRA див. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Параметри конфігурації

Виділений екземпляр надає партнеру гнучкість щодо налаштування служб для кінцевих користувачів завдяки повному контролю над конфігураціями другого дня. Як наслідок, Партнер несе виняткову відповідальність за належне налаштування служби виділеного екземпляра для середовища кінцевого користувача. Це включає, але не обмежується:

  • Вибір безпечних/незахищених викликів, безпечних/незахищених протоколів, як-от SIP/sSIP, http/https тощо, і розуміння будь-яких пов’язаних ризиків.

  • Для всіх MAC-адрес, які не налаштовано як безпечний SIP у виділеному екземплярі, зловмисник може надіслати повідомлення про реєстр SIP, використовуючи цю MAC-адресу, і мати змогу здійснювати виклики SIP, що призведе до шахрайства з використанням платних послуг. Необхідною умовою є те, що зловмисник може зареєструвати свій пристрій/програмне забезпечення SIP у виділеному екземплярі без авторизації, якщо йому відома MAC-адреса пристрою, зареєстрованого у виділеному екземплярі.

  • Політики викликів Expressway-E, перетворення та правила пошуку повинні бути налаштовані для запобігання шахрайству з використанням платних послуг. Додаткову інформацію про запобігання шахрайству з оплатою проїзду за допомогою Expressways див. в розділі «Безпека для Expressway C і Expressway-E» Співпраця SRND .

  • Конфігурація абонентської групи, щоб користувачі могли набирати лише дозволені адреси призначення, наприклад, заборона національного/міжнародного набору, належна маршрутизація екстрених викликів тощо. Додаткову інформацію про застосування обмежень за допомогою групи набору див. Абонентська група розділ Співпраця SRND.

Вимоги до сертифіката для безпечних підключень у виділеному екземплярі

Для виділеного екземпляра Cisco надасть домен і підпише всі сертифікати для програм UC за допомогою публічного центру сертифікації (CA).

Виділений екземпляр – номери портів і протоколи

У наведених нижче таблицях описано порти та протоколи, які підтримуються у виділеному екземплярі. Порти, які використовуються для певного клієнта, залежать від розгортання та рішення клієнта. Протоколи залежать від бажаних параметрів клієнта (SCCP або SIP), наявних локальних пристроїв і рівня безпеки для визначення портів, які використовуватимуться в кожному розгортанні.


 

У виділеному екземплярі не дозволяється трансляція мережевих адрес (NAT) між кінцевими пристроями та Unified CM, оскільки деякі функції потоку викликів не працюватимуть, наприклад функція під час виклику.

Виділений екземпляр – порти клієнтів

Доступні для клієнтів порти між локальним екземпляром клієнта та виділеним екземпляром показано в таблиці 1. Порти клієнта виділеного екземпляра . Усі наведені нижче порти призначені для трафіку клієнта, що проходить через пірингові посилання.


 

Порт SNMP за замовчуванням відкритий лише для Cisco Emergency Responder для підтримки його функцій. Оскільки ми не підтримуємо партнерів або клієнтів, які здійснюють моніторинг застосунків UC, розгорнутих у хмарі Dedicated Instance, ми не дозволяємо відкривати порт SNMP для будь-яких інших програм UC.


 

Порти в діапазоні від 5063 до 5080 зарезервовано компанією Cisco для інших хмарних інтеграцій, адміністраторам партнерів або клієнтів рекомендується не використовувати ці порти в своїх конфігураціях.

Таблиця 2. Порти клієнта виділеного екземпляра

Протокол

TCP або UDP

Джерело

Місце призначення

Порт джерела

Порт призначення

Мета

SSH

TCP

Клієнт

програми UC


 
Не дозволено для програм Cisco Expressway.

Більше 1023

22

Адміністрування

TFTP

UDP

Кінцевий пристрій

Unified CM

Більше 1023

69

Підтримка застарілих кінцевих пристроїв

LDAP

TCP

програми UC

Зовнішній каталог

Більше 1023

389

Синхронізація каталогу з LDAP клієнта

HTTPS

TCP

Браузер

програми UC

Більше 1023

443

Вебдоступ для інтерфейсів самообслуговування та адміністрування

Вихідна пошта (БЕЗпечний)

TCP

Застосунок UC

CUCxn

Більше 1023

587

Використовується для створення та надсилання захищених повідомлень будь-яким призначеним отримувачам

LDAP (БЕЗПЕЧНИЙ)

TCP

програми UC

Зовнішній каталог

Більше 1023

636

Синхронізація каталогу з LDAP клієнта

H323

TCP

Шлюз

Unified CM

Більше 1023

1720

Сигналізація викликів

H323

TCP

Unified CM

Unified CM

Більше 1023

1720

Сигналізація викликів

SCCP

TCP

Кінцевий пристрій

Unified CM, CUCxn

Більше 1023

2000

Сигналізація викликів

SCCP

TCP

Unified CM

Unified CM, шлюз

Більше 1023

2000

Сигналізація викликів

MGCP

UDP

Шлюз

Шлюз

Більше 1023

2427

Сигналізація викликів

Backhaul MGCP

TCP

Шлюз

Unified CM

Більше 1023

2428

Сигналізація викликів

SCCP (БЕЗПЕЧНИЙ)

TCP

Кінцевий пристрій

Unified CM, CUCxn

Більше 1023

2443

Сигналізація викликів

SCCP (БЕЗПЕЧНИЙ)

TCP

Unified CM

Unified CM, шлюз

Більше 1023

2443

Сигналізація викликів

Перевірка довіри

TCP

Кінцевий пристрій

Unified CM

Більше 1023

2445

Надання служби перевірки довіри для кінцевих пристроїв

CTI

TCP

Кінцевий пристрій

Unified CM

Більше 1023

2748

З’єднання між програмами CTI (JTAPI/TSP) і CTIManager

Безпечний CTI

TCP

Кінцевий пристрій

Unified CM

Більше 1023

2749

Захищене з’єднання між програмами CTI (JTAPI/TSP) і CTIManager

Глобальний каталог LDAP

TCP

Програма UC

Зовнішній каталог

Більше 1023

3268

Синхронізація каталогу з LDAP клієнта

Глобальний каталог LDAP

TCP

Програма UC

Зовнішній каталог

Більше 1023

3269

Синхронізація каталогу з LDAP клієнта

Служба CAPF

TCP

Кінцевий пристрій

Unified CM

Більше 1023

3804

Порт прослуховування функції проксі-сервера центру сертифікації (CAPF) для видачі локально значущих сертифікатів (LSC) на IP-телефони

SIP

TCP

Кінцевий пристрій

Unified CM, CUCxn

Більше 1023

5060

Сигналізація викликів

SIP

TCP

Unified CM

Unified CM, шлюз

Більше 1023

5060

Сигналізація викликів

SIP (БЕЗПЕЧНИЙ)

TCP

Кінцевий пристрій

Unified CM

Більше 1023

5061

Сигналізація викликів

SIP (БЕЗПЕЧНИЙ)

TCP

Unified CM

Unified CM, шлюз

Більше 1023

5061

Сигналізація викликів

SIP (OAUTH)

TCP

Кінцевий пристрій

Unified CM

Більше 1023

5090

Сигналізація викликів

XMPP

TCP

Клієнт Jabber

Cisco IM&P

Більше 1023

5222

Обмін миттєвими повідомленнями та присутність

HTTP

TCP

Кінцевий пристрій

Unified CM

Більше 1023

6970

Завантаження конфігурації та зображень на кінцеві пристрої

HTTPS

TCP

Кінцевий пристрій

Unified CM

Більше 1023

6971

Завантаження конфігурації та зображень на кінцеві пристрої

HTTPS

TCP

Кінцевий пристрій

Unified CM

Більше 1023

6972

Завантаження конфігурації та зображень на кінцеві пристрої

HTTP

TCP

Клієнт Jabber

CUCxn

Більше 1023

7080

Сповіщення голосової пошти

HTTPS

TCP

Клієнт Jabber

CUCxn

Більше 1023

7443

Захищені сповіщення голосової пошти

HTTPS

TCP

Unified CM

Unified CM

Більше 1023

7501

Використовується службою міжкластерного пошуку (ILS) для автентифікації на основі сертифіката

HTTPS

TCP

Unified CM

Unified CM

Більше 1023

7502

Використовується ILS для автентифікації на основі пароля

IMAP

TCP

Клієнт Jabber

CUCxn

Більше 1023

7993

IMAP через TLS

HTTP

TCP

Кінцевий пристрій

Unified CM

Більше 1023

8080

URI каталогу для підтримки застарілих кінцевих пристроїв

HTTPS

TCP

Браузер, кінцевий пристрій

програми UC

Більше 1023

8443

Вебдоступ для інтерфейсів самообслуговування та адміністрування, UDS

HTTPS

TCP

Телефон

Unified CM

Більше 1023

9443

Пошук автентифікованих контактів

HTTP

TCP

Кінцевий пристрій

Unified CM

Більше 1023

9444

Функція керування гарнітурою

Безпечний RTP/SRTP

UDP

Unified CM

Телефон

16384 до 32767 *

16384 до 32767 *

Медіа (аудіо) — музика на утриманні, сповіщувач, міст програмної конференції (відкривається на основі сигналізації виклику)

Безпечний RTP/SRTP

UDP

Телефон

Unified CM

16384 до 32767 *

16384 до 32767 *

Медіа (аудіо) — музика на утриманні, сповіщувач, міст програмної конференції (відкривається на основі сигналізації виклику)

КОБРИ

TCP

Клієнт

CUCxn

Більше 1023

20532

Резервне копіювання та відновлення набору програм

ICMP

ICMP

Кінцевий пристрій

програми UC

н/д

н/д

Перевірка зв’язку

ICMP

ICMP

програми UC

Кінцевий пристрій

н/д

н/д

Перевірка зв’язку

DNS UDP й TCP

Переадресатор DNS

Виділені DNS-сервери екземплярів

Більше 1023

53

Переадресатори DNS клієнта на сервери DNS виділеного екземпляра. Див Вимоги до DNS для отримання додаткової інформації.

* У деяких особливих випадках може використовуватися більший діапазон.

Виділений екземпляр – порти OTT

Клієнти та партнери для налаштування мобільного та віддаленого доступу (MRA) можуть використовувати такий порт:

Таблиця 3. Порт для OTT

Протокол

TCP/UCP

Джерело

Місце призначення

Порт джерела

Порт призначення

Мета

БЕЗПЕЧНИЙ RTP/RTCP

UDP

Expressway C

Клієнт

Більше 1023

36000-59999

Захищений медіа для MRA та B2B викликів

Міжопераційний SIP-транк між кількома клієнтами та виділеним екземпляром (тільки для транка на основі реєстрації)

Наведений далі список портів має бути дозволено в брандмауері клієнта для SIP-транка на основі реєстрації, що підключається між кількома клієнтами та виділеним екземпляром.

Таблиця 4. Порт для транків на основі реєстрації

Протокол

TCP/UCP

Джерело

Місце призначення

Порт джерела

Порт призначення

Мета

RTP/RTCP

UDP

Webex Calling Multitenant

Клієнт

Більше 1023

8000-48198

Медіафайли з Webex Calling Multitenant

Виділений екземпляр – порти UCCX

Наведений далі список портів може використовуватися клієнтами та партнерами для налаштування UCCX.

Таблиця 5. порти Cisco UCCX

Протокол

TCP / UCP

Джерело

Місце призначення

Порт джерела

Порт призначення

Мета

SSH

TCP

Клієнт

UCCX

Більше 1023

22

SFTP і SSH

Informix

TCP

Клієнт або сервер

UCCX

Більше 1023

1504

Порт бази даних Contact Center Express

SIP

UDP й TCP

сервер SIP GW або MCRP

UCCX

Більше 1023

5065

Зв’язок з віддаленими вузлами GW і MCRP

XMPP

TCP

Клієнт

UCCX

Більше 1023

5223

Захищене XMPP-з’єднання між сервером Finesse і користувацькими програмами сторонніх розробників

ССЗ

TCP

Клієнт

UCCX

Більше 1023

6999

Редактор для програм CCX

HTTPS

TCP

Клієнт

UCCX

Більше 1023

7443

Захищене з’єднання BOSH між сервером Finesse і робочими столами операторів і наглядачів для зв’язку через HTTPS

HTTP

TCP

Клієнт

UCCX

Більше 1023

8080

Клієнти звітування з реальними даними підключаються до сервера socket.IO

HTTP

TCP

Клієнт

UCCX

Більше 1023

8081

Клієнтський браузер намагається отримати доступ до вебінтерфейсу Cisco Unified Intelligence Center

HTTP

TCP

Клієнт

UCCX

Більше 1023

8443

GUI адміністратора, RTMT, доступ до БД через SOAP

HTTPS

TCP

Клієнт

UCCX

Більше 1023

8444

Вебінтерфейс Cisco Unified Intelligence Center

HTTPS

TCP

Браузер і клієнти REST

UCCX

Більше 1023

8445

Захищений порт для Finesse

HTTPS

TCP

Клієнт

UCCX

Більше 1023

8447

HTTPS – онлайн-довідка Unified Intelligence Center

HTTPS

TCP

Клієнт

UCCX

Більше 1023

8553

Компоненти єдиного входу (SSO) отримують доступ до цього інтерфейсу, щоб дізнатися робочий стан Cisco IdS.

HTTP

TCP

Клієнт

UCCX

Більше 1023

9080

Клієнти, які намагаються отримати доступ до тригерів HTTP або документів / підказок / граматик / поточних даних.

HTTPS

TCP

Клієнт

UCCX

Більше 1023

9443

Захищений порт, що використовується для відповіді клієнтам, які намагаються отримати доступ до тригерів HTTPS

TCP

TCP

Клієнт

UCCX

Більше 1023

12014

Це порт, через який клієнти звітування з реальними даними можуть підключатися до сервера socket.IO

TCP

TCP

Клієнт

UCCX

Більше 1023

12015

Це порт, через який клієнти звітування з реальними даними можуть підключатися до сервера socket.IO

CTI

TCP

Клієнт

UCCX

Більше 1023

12028

Сторонній клієнт CTI для CCX

RTP (медіа)

TCP

Кінцевий пристрій

UCCX

Більше 1023

Більше 1023

Медіапорт відкривається динамічно за потреби

RTP (медіа)

TCP

Клієнт

Кінцевий пристрій

Більше 1023

Більше 1023

Медіапорт відкривається динамічно за потреби

Безпека клієнта

Захист Jabber і Webex за допомогою SIP OAuth

Клієнти Jabber і Webex автентифікуються за допомогою токена OAuth замість локально значимого сертифіката (LSC), який не вимагає ввімкнення функції проксі-сертифікатора (CAPF) (також для MRA). SIP OAuth, що працює зі змішаним режимом або без нього, було представлено в Cisco Unified CM 12.5(1), Jabber 12.5 і Expressway X12.5.

У Cisco Unified CM 12.5 ми маємо новий параметр у профілі безпеки телефону, який вмикає шифрування без LSC/CAPF, використовуючи єдиний транспортний рівень безпеки (TLS) + маркер OAuth в SIP REGISTER. Вузли Expressway-C використовують API вебслужби адміністративного XML (AXL) для інформування Cisco Unified CM про SN/SAN у своїх сертифікатах. Cisco Unified CM використовує цю інформацію для перевірки сертифіката Exp-C під час встановлення взаємного підключення TLS.

SIP OAuth вмикає медіа та шифрування сигналів без сертифіката кінцевого пристрою (LSC).

Cisco Jabber використовує короткочасні порти та захищені порти 6971 і 6972 через підключення HTTPS до сервера TFTP для завантаження файлів конфігурації. Порт 6970 є незахищеним портом для завантаження через HTTP.

Докладніше про конфігурацію SIP OAuth: Режим SIP OAuth .

Вимоги до DNS

Для виділеного екземпляра Cisco надає повне доменне ім’я для служби в кожному регіоні в такому форматі<customer> .<region> .wxc-di.webex.com наприклад, xyz.amer.wxc-di.webex.com .

Значення "клієнт" надається адміністратором як частина майстра першого налаштування (FTSW). Додаткову інформацію див Активація служби виділеного екземпляра .

Для підтримки локальних пристроїв, що підключаються до виділеного екземпляра, записи DNS для цього повного домену мають бути дозволені з внутрішнього сервера DNS клієнта. Щоб полегшити вирішення проблеми, клієнту потрібно налаштувати умовну переадресацію для цього повного домену на своєму сервері DNS, яка вказує на службу DNS для виділеного екземпляра. Служба DNS виділеного екземпляра є регіональною, і до неї можна підключитися за допомогою пірингу до виділеного екземпляра, використовуючи такі IP-адреси, як зазначено в таблиці нижче. IP-адреса служби DNS виділеного екземпляра .

Таблиця 6. IP-адреса служби DNS виділеного екземпляра

Регіон/DC

IP-адреса служби DNS виділеного екземпляра

Приклад умовного переадресації

AMER

<customer>.amer.wxc-di.webex.com

SJC

69.168.17.100

DFW

69.168.17.228

EMEA

<customer>.emea.wxc-di.webex.com

LON

178.215.138.100

AMS

178.215.138.228

ЄС

<customer>.eu.wxc-di.webex.com

FRA

178.215.131.100

AMS

178.215.131.228

APJC

<customer>.apjc.wxc-di.webex.com

SIN

103.232.71.100

TKY

103.232.71.228

AUS

<customer>.aus.wxc-di.webex.com

MEL

178.215.128.100

SYD

178.215.128.228


 

Параметр ping вимкнено для зазначених вище IP-адрес сервера DNS з міркувань безпеки.

Доки не буде налаштовано умовну переадресацію, пристрої не зможуть реєструватися у виділеному екземплярі з внутрішньої мережі клієнта за допомогою пірингових посилань. Умовна переадресація не потрібна для реєстрації через мобільний і віддалений доступ (MRA), оскільки всі необхідні зовнішні записи DNS для полегшення MRA будуть попередньо підготовлені компанією Cisco.

У разі використання програми Webex як програмного клієнта викликів у виділеному екземплярі необхідно налаштувати профіль UC Manager у Control Hub для домену служби голосової підтримки (VSD) кожного регіону. Додаткову інформацію див Профілі UC Manager у Cisco Webex Control Hub . Програма Webex зможе автоматично вирішувати проблему Expressway Edge клієнта без втручання кінцевого користувача.


 

Домен служби голосової пошти буде надано клієнту як частина документа доступу партнера після завершення активації служби.

Використовуйте локальний маршрутизатор для дозволу DNS телефону

Для телефонів, які не мають доступу до корпоративних серверів DNS, можна використовувати локальний маршрутизатор Cisco для переадресації запитів DNS до хмарного DNS виділеного екземпляра. Це позбавляє від необхідності розгортання локального сервера DNS і забезпечує повну підтримку DNS, зокрема кешування.

Приклад конфігурації :

!

IP-сервер DNS

IP-сервер імен<DI DNS Server IP DC1><DI DNS Server IP DC2>

!


 

Використання DNS у цій моделі розгортання є специфічним для телефонів і може використовуватися лише для вирішення FQDN з доменом із виділеного екземпляра клієнтів.

Phone DNS resolution