- Головна
- /
- Стаття
Network and security requirements for Dedicated Instance solution is the layered approach to the features and functionality that provide secure physical access, network, endpoints, and Cisco UC applications. It describes the network requirements and lists the addresses, ports, and protocols used for connecting your endpoints to the services.
Вимоги до мережі для виділеного екземпляра
Виділений екземпляр Webex Calling є частиною портфоліо Cisco Cloud Calling, що базується на технології співпраці Cisco Unified Communications Manager (Cisco Unified CM). Виділений екземпляр пропонує рішення для голосу, відео, обміну повідомленнями та мобільності з функціями та перевагами IP-телефонів Cisco, мобільних пристроїв і клієнтів для настільних ПК, які безпечно підключаються до виділеного екземпляра.
Ця стаття призначена для адміністраторів мережі, зокрема адміністраторів брандмауера та безпеки проксі, які хочуть використовувати виділений екземпляр у своїй організації.
Огляд безпеки: Безпека в шарах
Виділений екземпляр використовує багаторівневий підхід для безпеки. Шари включають:
-
Фізичний доступ
-
Мережа
-
Термінальні пристрої
-
програми UC
У наступних розділах описано рівні безпеки в розгортаннях виділеного екземпляра.
Фізична безпека
Важливо забезпечити фізичну безпеку розташувань кімнат Equinix MeetMe і об’єктів центру обробки даних Cisco Dedicated Instance. Коли фізична безпека скомпрометована, можуть бути ініційовані прості атаки, як-от порушення роботи служби через відключення живлення комутаторів клієнта. Завдяки фізичному доступу зловмисники можуть отримати доступ до серверних пристроїв, скинути паролі та отримати доступ до комутаторів. Фізичний доступ також сприяє більш складним атакам, як-от атаки «людина посередині», тому другий рівень безпеки, мережева безпека, є критичним.
Диски з самошифруванням використовуються у виділених центрах обробки даних екземпляра, де розміщено програми UC.
Додаткову інформацію про загальні методи безпеки див. в документації за таким розташуванням: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html .
Безпека мережі
Партнери повинні переконатися, що всі елементи мережі захищені в інфраструктурі виділеного екземпляра (яка підключається через Equinix). Партнер несе відповідальність за забезпечення оптимальних методів безпеки, як-от:
-
Окрема VLAN для голосу та даних
-
Увімкніть безпеку портів, яка обмежує кількість MAC-адрес, дозволених на порт, проти заповнення таблиці CAM
-
Захист джерела IP від підроблених IP-адрес
-
Динамічна перевірка ARP (DAI) перевіряє протокол дозволу адрес (ARP) і безоплатний ARP (GARP) на предмет порушень (проти спуфінгу ARP).
-
802.1x обмежує доступ до мережі для автентифікації пристроїв у призначених VLAN (телефони підтримують 802.1x)
-
Конфігурація якості обслуговування (QoS) для відповідного маркування голосових пакетів
-
Конфігурації портів брандмауера для блокування будь-якого іншого трафіку
Безпека кінцевих пристроїв
Кінцеві пристрої Cisco підтримують функції безпеки за замовчуванням, як-от підписане мікропрограмне забезпечення, безпечне завантаження (вибрані моделі), установлений виробником сертифікат (MIC) і підписані файли конфігурації, які забезпечують певний рівень безпеки для кінцевих пристроїв.
Крім того, партнер або клієнт може ввімкнути додатковий захист, як-от:
-
Шифруйте служби IP-телефонії (через HTTPS) для таких служб, як Extension Mobility
-
Випускати локально значущі сертифікати (LSC) з функції проксі-сертифікатора (CAPF) або загальнодоступного центру сертифікації (CA)
-
Зашифруйте файли конфігурації
-
Шифруйте медіа та сигналізацію
-
Вимкніть ці налаштування, якщо вони не використовуються: Порт ПК, голосовий доступ до VLAN ПК, безкоштовний ARP, вебдоступ, кнопка налаштувань, SSH, консоль
Запровадження механізмів безпеки у виділеному екземплярі запобігає крадіжці особистих даних телефонів і сервера Unified CM, підробці даних і сигналізації викликів / медіапотоку.
Виділений екземпляр через мережу:
-
Встановлює та підтримує автентифіковані потоки зв’язку
-
Перед передаванням файлу на телефон підписує файли цифровим підписом
-
Шифрує медіапотоки та сигналізацію викликів між IP-телефонами Cisco Unified
Безпека за замовчуванням забезпечує такі автоматичні функції безпеки для IP-телефонів Cisco Unified:
-
Підписання файлів конфігурації телефону
-
Підтримка шифрування файлів конфігурації телефону
-
HTTPS з Tomcat та іншими вебслужбами (MIDlets)
Для Unified CM версії 8.0 пізніше ці функції безпеки надаються за замовчуванням без запуску клієнта списку довірених сертифікатів (CTL).
Служба перевірки довіриОскільки в мережі існує велика кількість телефонів, а пам’ять IP-телефонів обмежена, Cisco Unified CM діє як віддалене сховище довіри через службу перевірки довіри (TVS), тому сховище довіри сертифікатів не потрібно розміщувати на кожному телефоні. IP-телефони Cisco звертаються до сервера TVS для перевірки, оскільки вони не можуть перевірити підпис або сертифікат за допомогою файлів CTL або ITL. Керувати центральним сховищем довіри легше, ніж сховищем на кожному IP-телефоні Cisco Unified.
TVS дозволяє IP-телефонам Cisco Unified автентифікувати сервери застосунків, як-от служби EM, каталоги та MIDlet, під час встановлення HTTPS.
Початковий список довіриФайл початкового списку довіри (ITL) використовується для початкової безпеки, щоб кінцеві пристрої могли довіряти Cisco Unified CM. Для явного ввімкнення ITL не потрібно жодних функцій безпеки. Файл ITL автоматично створюється після встановлення кластера. Закритий ключ сервера Unified CM Trivial File Transfer Protocol (TFTP) використовується для підпису файлу ITL.
Коли кластер або сервер Cisco Unified CM перебуває в незахищеному режимі, файл ITL завантажується на кожен підтримуваний IP-телефон Cisco. Партнер може переглядати вміст файлу ITL за допомогою команди CLI, admin:show itl.
IP-телефонам Cisco необхідний файл ITL для виконання таких завдань:
-
Безпечний зв’язок із CAPF, що є обов’язковою умовою підтримки шифрування файлів конфігурації
-
Автентифікація підпису файлу конфігурації
-
Автентифікувати сервери застосунків, як-от служби EM, каталоги та MIDlet під час встановлення HTTPS за допомогою TVS
Автентифікація пристрою, файлу й сигналізації залежить від створення файлу списку довірених сертифікатів (CTL), який створюється, коли партнер або клієнт встановлює та налаштовує клієнт списку довірених сертифікатів Cisco.
Файл CTL містить записи для таких серверів або маркерів безпеки:
-
Маркер безпеки системного адміністратора (SAST)
-
Служби Cisco CallManager і Cisco TFTP, які запущені на одному сервері
-
Функція проксі центру сертифікації (CAPF)
-
сервер(-и) TFTP
-
брандмауер ASA
Файл CTL містить сертифікат сервера, відкритий ключ, серійний номер, підпис, ім’я емітента, ім’я теми, функцію сервера, ім’я DNS та IP-адресу для кожного сервера.
Безпека телефону за допомогою CTL надає такі функції:
-
Автентифікація завантажених файлів TFTP (конфігурація, мовні стандарти, список викликів тощо) за допомогою ключа підпису
-
Шифрування файлів конфігурації TFTP за допомогою ключа підпису
-
Зашифрована сигналізація викликів для IP-телефонів
-
Зашифроване аудіо виклику (медіа) для IP-телефонів
Виділений екземпляр забезпечує реєстрацію кінцевої точки та обробку викликів. Передача сигналів між Cisco Unified CM і кінцевими точками базується на протоколі Secure Skinny Client Control Protocol (SCCP) або Session Initiation Protocol (SIP) і може бути зашифрована за допомогою безпеки транспортного рівня (TLS). Медіафайли від або до кінцевих пристроїв базуються на протоколі реального часу (RTP) і можуть бути зашифровані за допомогою безпечного RTP (SRTP).
Увімкнення змішаного режиму на Unified CM увімкне шифрування сигналізації та медіатрафіку від та до кінцевих пристроїв Cisco.
Захищені програми UC
Увімкнення змішаного режиму у виділеному екземпляріЗмішаний режим увімкнено за замовчуванням у виділеному екземплярі.
Увімкнення змішаного режиму у виділеному екземплярі дає змогу виконувати шифрування сигнального та медіатрафіку від і до кінцевих пристроїв Cisco.
У випуску Cisco Unified CM 12.5(1) для клієнтів Jabber і Webex було додано новий параметр для ввімкнення шифрування сигналізації та медіа на основі SIP OAuth замість змішаного режиму / CTL. Тому у випуску Unified CM 12.5(1) SIP OAuth і SRTP можна використовувати для ввімкнення шифрування для сигналізації та медіа для клієнтів Jabber або Webex. Зараз увімкнення змішаного режиму є обов’язковим для IP-телефонів Cisco та інших кінцевих пристроїв Cisco. У майбутньому випуску планується додати підтримку SIP OAuth на кінцеві пристрої 7800/8800.
Безпека обміну голосовими повідомленнямиCisco Unity Connection підключається до Unified CM через порт TLS. Якщо режим безпеки пристрою не є безпечним, Cisco Unity Connection підключається до Unified CM через порт SCCP.
Щоб налаштувати безпеку для портів обміну голосовими повідомленнями Unified CM і пристроїв Cisco Unity, які використовують SCCP, або пристроїв Cisco Unity Connection, які використовують SCCP, партнер може вибрати для порту режим безпеки безпечного пристрою. Якщо вибрати автентифікований порт голосової пошти, відкриється з’єднання TLS, яке автентифікує пристрої за допомогою взаємного обміну сертифікатами (кожен пристрій приймає сертифікат іншого пристрою). Якщо вибрати зашифрований порт голосової пошти, система спочатку автентифікує пристрої, а потім надсилатиме зашифровані голосові потоки між пристроями.
Додаткову інформацію про порти обміну голосовими повідомленнями безпеки див. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_01_010
Безпека для SRST, транків, шлюзів, CUBE/SBC
Шлюз Cisco Unified Survivable Remote Site Telephony (SRST) надає обмежені завдання з обробки викликів, якщо Cisco Unified CM у виділеному екземплярі не може завершити виклик.
Захищені шлюзи з підтримкою SRST містять самопідписаний сертифікат. Після того як партнер виконує завдання з конфігурації SRST в Unified CM Administration, Unified CM використовує підключення TLS для автентифікації за допомогою служби постачальника сертифікатів на шлюзі з підтримкою SRST. Потім Unified CM отримує сертифікат зі шлюзу з підтримкою SRST і додає сертифікат до бази даних Unified CM.
Після того як партнер скидає залежні пристрої в Unified CM Administration, сервер TFTP додає сертифікат шлюзу з підтримкою SRST до файлу cnf.xml телефону та надсилає файл на телефон. Потім захищений телефон використовує підключення TLS для взаємодії зі шлюзом із підтримкою SRST.
Рекомендовано мати захищені транки для виклику, що йде від Cisco Unified CM до шлюзу для вихідних викликів ТМЗК або проходження через Cisco Unified Border Element (CUBE).
SIP-транки можуть підтримувати захищені виклики як для сигналізації, так і для медіа; TLS забезпечує шифрування сигналів, а SRTP забезпечує шифрування медіа.
Захист зв’язку між Cisco Unified CM і CUBE
Для безпечного зв’язку між Cisco Unified CM і CUBE партнери/клієнти повинні використовувати або самопідписані сертифікати, або сертифікати, підписані CA.
Для самопідписаних сертифікатів:
-
CUBE і Cisco Unified CM створюють самопідписані сертифікати
-
CUBE експортує сертифікат до Cisco Unified CM
-
Cisco Unified CM експортує сертифікат до CUBE
Для підписаних CA сертифікатів:
-
Клієнт створює пару ключів і надсилає запит на підпис сертифіката (CSR) до центру сертифікації (CA).
-
CA підписує його своїм закритим ключем, створюючи сертифікат посвідчення
-
Клієнт встановлює список довірених кореневих сертифікатів CA та посередників, а також сертифікат посвідчення
Безпека для віддалених кінцевих пристроїв
За допомогою кінцевих пристроїв мобільного та віддаленого доступу (MRA) сигналізація та медіа завжди шифруються між кінцевими точками MRA та вузлами Expressway. Якщо для кінцевих пристроїв MRA використовується протокол встановлення інтерактивного з’єднання (ICE), потрібна передача сигналів і шифрування медіа для кінцевих пристроїв MRA. Однак шифрування сигналів і медіа між Expressway-C і внутрішніми серверами Unified CM, внутрішніми кінцевими пристроями або іншими внутрішніми пристроями вимагає змішаного режиму або SIP OAuth.
Cisco Expressway забезпечує безпечний обхід брандмауером і підтримку на стороні лінії для реєстрацій Unified CM. Unified CM забезпечує керування викликами як для мобільних, так і для локальних кінцевих пристроїв. Передача сигналів здійснюється через рішення Expressway між віддаленим кінцевим пристроєм і Unified CM. Медіафайли обходяться рішенням Expressway і передаються між кінцевими точками безпосередньо. Усі медіафайли між Expressway-C і мобільним кінцевим пристроєм шифруються.
Будь-яке рішення MRA вимагає Expressway і Unified CM з MRA-сумісними програмними клієнтами та/або фіксованими кінцевими точками. Рішення може додатково включати службу IM, Presence Service і Unity Connection.
Зведення протоколу
У таблиці нижче показано протоколи та пов’язані служби, що використовуються в рішенні Unified CM.
Протокол |
Безпека |
Служба |
---|---|---|
SIP |
TLS |
Встановлення сеансу: Зареєструватися, запросити тощо. |
HTTPS |
TLS |
Вхід, підготовка/конфігурація, каталог, візуальна голосова пошта |
Мультимедійний вміст |
SRTP |
Медіа: Спільний доступ до аудіо, відео, контенту |
XMPP |
TLS |
Обмін миттєвими повідомленнями, присутність, об’єднання |
Додаткову інформацію про конфігурацію MRA див. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html
Параметри конфігурації
Виділений екземпляр надає партнеру гнучкість щодо налаштування служб для кінцевих користувачів завдяки повному контролю над конфігураціями другого дня. Як наслідок, Партнер несе виняткову відповідальність за належне налаштування служби виділеного екземпляра для середовища кінцевого користувача. Це включає, але не обмежується:
-
Вибір безпечних/незахищених викликів, безпечних/незахищених протоколів, як-от SIP/sSIP, http/https тощо, і розуміння будь-яких пов’язаних ризиків.
-
Для всіх MAC-адрес, які не налаштовано як безпечний SIP у виділеному екземплярі, зловмисник може надіслати повідомлення про реєстр SIP, використовуючи цю MAC-адресу, і мати змогу здійснювати виклики SIP, що призведе до шахрайства з використанням платних послуг. Необхідною умовою є те, що зловмисник може зареєструвати свій пристрій/програмне забезпечення SIP у виділеному екземплярі без авторизації, якщо йому відома MAC-адреса пристрою, зареєстрованого у виділеному екземплярі.
-
Політики викликів Expressway-E, перетворення та правила пошуку повинні бути налаштовані для запобігання шахрайству з використанням платних послуг. Додаткову інформацію про запобігання шахрайству з оплатою проїзду за допомогою Expressways див. в розділі «Безпека для Expressway C і Expressway-E» Співпраця SRND .
-
Конфігурація абонентської групи, щоб користувачі могли набирати лише дозволені адреси призначення, наприклад, заборона національного/міжнародного набору, належна маршрутизація екстрених викликів тощо. Додаткову інформацію про застосування обмежень за допомогою групи набору див. Абонентська група розділ Співпраця SRND.
Вимоги до сертифіката для безпечних підключень у виділеному екземплярі
Для виділеного екземпляра Cisco надасть домен і підпише всі сертифікати для програм UC за допомогою публічного центру сертифікації (CA).
Виділений екземпляр – номери портів і протоколи
У наведених нижче таблицях описано порти та протоколи, які підтримуються у виділеному екземплярі. Порти, які використовуються для певного клієнта, залежать від розгортання та рішення клієнта. Протоколи залежать від бажаних параметрів клієнта (SCCP або SIP), наявних локальних пристроїв і рівня безпеки для визначення портів, які використовуватимуться в кожному розгортанні.
У виділеному екземплярі не дозволяється трансляція мережевих адрес (NAT) між кінцевими пристроями та Unified CM, оскільки деякі функції потоку викликів не працюватимуть, наприклад функція під час виклику. |
Виділений екземпляр – порти клієнтів
Доступні для клієнтів порти між локальним екземпляром клієнта та виділеним екземпляром показано в таблиці 1. Порти клієнта виділеного екземпляра . Усі наведені нижче порти призначені для трафіку клієнта, що проходить через пірингові посилання.
Порт SNMP за замовчуванням відкритий лише для Cisco Emergency Responder для підтримки його функцій. Оскільки ми не підтримуємо партнерів або клієнтів, які здійснюють моніторинг застосунків UC, розгорнутих у хмарі Dedicated Instance, ми не дозволяємо відкривати порт SNMP для будь-яких інших програм UC. |
Порти в діапазоні від 5063 до 5080 зарезервовано компанією Cisco для інших хмарних інтеграцій, адміністраторам партнерів або клієнтів рекомендується не використовувати ці порти в своїх конфігураціях. |
Протокол |
TCP або UDP |
Джерело |
Місце призначення |
Порт джерела |
Порт призначення |
Мета | ||
---|---|---|---|---|---|---|---|---|
SSH |
TCP |
Клієнт |
програми UC
|
Більше 1023 |
22 |
Адміністрування |
||
TFTP |
UDP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
69 |
Підтримка застарілих кінцевих пристроїв |
||
LDAP |
TCP |
програми UC |
Зовнішній каталог |
Більше 1023 |
389 |
Синхронізація каталогу з LDAP клієнта |
||
HTTPS |
TCP |
Браузер |
програми UC |
Більше 1023 |
443 |
Вебдоступ для інтерфейсів самообслуговування та адміністрування |
||
Вихідна пошта (БЕЗпечний) |
TCP |
Застосунок UC |
CUCxn |
Більше 1023 |
587 |
Використовується для створення та надсилання захищених повідомлень будь-яким призначеним отримувачам |
||
LDAP (БЕЗПЕЧНИЙ) |
TCP |
програми UC |
Зовнішній каталог |
Більше 1023 |
636 |
Синхронізація каталогу з LDAP клієнта |
||
H323 |
TCP |
Шлюз |
Unified CM |
Більше 1023 |
1720 |
Сигналізація викликів |
||
H323 |
TCP |
Unified CM |
Unified CM |
Більше 1023 |
1720 |
Сигналізація викликів |
||
SCCP |
TCP |
Кінцевий пристрій |
Unified CM, CUCxn |
Більше 1023 |
2000 |
Сигналізація викликів |
||
SCCP |
TCP |
Unified CM |
Unified CM, шлюз |
Більше 1023 |
2000 |
Сигналізація викликів |
||
MGCP |
UDP |
Шлюз |
Шлюз |
Більше 1023 |
2427 |
Сигналізація викликів |
||
Backhaul MGCP |
TCP |
Шлюз |
Unified CM |
Більше 1023 |
2428 |
Сигналізація викликів |
||
SCCP (БЕЗПЕЧНИЙ) |
TCP |
Кінцевий пристрій |
Unified CM, CUCxn |
Більше 1023 |
2443 |
Сигналізація викликів |
||
SCCP (БЕЗПЕЧНИЙ) |
TCP |
Unified CM |
Unified CM, шлюз |
Більше 1023 |
2443 |
Сигналізація викликів |
||
Перевірка довіри |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
2445 |
Надання служби перевірки довіри для кінцевих пристроїв |
||
CTI |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
2748 |
З’єднання між програмами CTI (JTAPI/TSP) і CTIManager |
||
Безпечний CTI |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
2749 |
Захищене з’єднання між програмами CTI (JTAPI/TSP) і CTIManager |
||
Глобальний каталог LDAP |
TCP |
Програма UC |
Зовнішній каталог |
Більше 1023 |
3268 |
Синхронізація каталогу з LDAP клієнта |
||
Глобальний каталог LDAP |
TCP |
Програма UC |
Зовнішній каталог |
Більше 1023 |
3269 |
Синхронізація каталогу з LDAP клієнта |
||
Служба CAPF |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
3804 |
Порт прослуховування функції проксі-сервера центру сертифікації (CAPF) для видачі локально значущих сертифікатів (LSC) на IP-телефони |
||
SIP |
TCP |
Кінцевий пристрій |
Unified CM, CUCxn |
Більше 1023 |
5060 |
Сигналізація викликів |
||
SIP |
TCP |
Unified CM |
Unified CM, шлюз |
Більше 1023 |
5060 |
Сигналізація викликів |
||
SIP (БЕЗПЕЧНИЙ) |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
5061 |
Сигналізація викликів |
||
SIP (БЕЗПЕЧНИЙ) |
TCP |
Unified CM |
Unified CM, шлюз |
Більше 1023 |
5061 |
Сигналізація викликів |
||
SIP (OAUTH) |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
5090 |
Сигналізація викликів |
||
XMPP |
TCP |
Клієнт Jabber |
Cisco IM&P |
Більше 1023 |
5222 |
Обмін миттєвими повідомленнями та присутність |
||
HTTP |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
6970 |
Завантаження конфігурації та зображень на кінцеві пристрої |
||
HTTPS |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
6971 |
Завантаження конфігурації та зображень на кінцеві пристрої |
||
HTTPS |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
6972 |
Завантаження конфігурації та зображень на кінцеві пристрої |
||
HTTP |
TCP |
Клієнт Jabber |
CUCxn |
Більше 1023 |
7080 |
Сповіщення голосової пошти |
||
HTTPS |
TCP |
Клієнт Jabber |
CUCxn |
Більше 1023 |
7443 |
Захищені сповіщення голосової пошти |
||
HTTPS |
TCP |
Unified CM |
Unified CM |
Більше 1023 |
7501 |
Використовується службою міжкластерного пошуку (ILS) для автентифікації на основі сертифіката |
||
HTTPS |
TCP |
Unified CM |
Unified CM |
Більше 1023 |
7502 |
Використовується ILS для автентифікації на основі пароля |
||
IMAP |
TCP |
Клієнт Jabber |
CUCxn |
Більше 1023 |
7993 |
IMAP через TLS |
||
HTTP |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
8080 |
URI каталогу для підтримки застарілих кінцевих пристроїв |
||
HTTPS |
TCP |
Браузер, кінцевий пристрій |
програми UC |
Більше 1023 |
8443 |
Вебдоступ для інтерфейсів самообслуговування та адміністрування, UDS |
||
HTTPS |
TCP |
Телефон |
Unified CM |
Більше 1023 |
9443 |
Пошук автентифікованих контактів |
||
HTTP |
TCP |
Кінцевий пристрій |
Unified CM |
Більше 1023 |
9444 |
Функція керування гарнітурою |
||
Безпечний RTP/SRTP |
UDP |
Unified CM |
Телефон |
16384 до 32767 * |
16384 до 32767 * |
Медіа (аудіо) — музика на утриманні, сповіщувач, міст програмної конференції (відкривається на основі сигналізації виклику) |
||
Безпечний RTP/SRTP |
UDP |
Телефон |
Unified CM |
16384 до 32767 * |
16384 до 32767 * |
Медіа (аудіо) — музика на утриманні, сповіщувач, міст програмної конференції (відкривається на основі сигналізації виклику) |
||
КОБРИ |
TCP |
Клієнт |
CUCxn |
Більше 1023 |
20532 |
Резервне копіювання та відновлення набору програм |
||
ICMP |
ICMP |
Кінцевий пристрій |
програми UC |
н/д |
н/д |
Перевірка зв’язку |
||
ICMP |
ICMP |
програми UC |
Кінцевий пристрій |
н/д |
н/д |
Перевірка зв’язку |
||
DNS | UDP й TCP |
Переадресатор DNS |
Виділені DNS-сервери екземплярів |
Більше 1023 |
53 |
Переадресатори DNS клієнта на сервери DNS виділеного екземпляра. Див Вимоги до DNS для отримання додаткової інформації. |
||
* У деяких особливих випадках може використовуватися більший діапазон. |
Виділений екземпляр – порти OTT
Клієнти та партнери для налаштування мобільного та віддаленого доступу (MRA) можуть використовувати такий порт:
Протокол |
TCP/UCP |
Джерело |
Місце призначення |
Порт джерела |
Порт призначення |
Мета |
---|---|---|---|---|---|---|
БЕЗПЕЧНИЙ RTP/RTCP |
UDP |
Expressway C |
Клієнт |
Більше 1023 |
36000-59999 |
Захищений медіа для MRA та B2B викликів |
Міжопераційний SIP-транк між кількома клієнтами та виділеним екземпляром (тільки для транка на основі реєстрації)
Наведений далі список портів має бути дозволено в брандмауері клієнта для SIP-транка на основі реєстрації, що підключається між кількома клієнтами та виділеним екземпляром.
Протокол |
TCP/UCP |
Джерело |
Місце призначення |
Порт джерела |
Порт призначення |
Мета |
---|---|---|---|---|---|---|
RTP/RTCP |
UDP |
Webex Calling Multitenant |
Клієнт |
Більше 1023 |
8000-48198 |
Медіафайли з Webex Calling Multitenant |
Виділений екземпляр – порти UCCX
Наведений далі список портів може використовуватися клієнтами та партнерами для налаштування UCCX.
Протокол |
TCP / UCP |
Джерело |
Місце призначення |
Порт джерела |
Порт призначення |
Мета |
---|---|---|---|---|---|---|
SSH |
TCP |
Клієнт |
UCCX |
Більше 1023 |
22 |
SFTP і SSH |
Informix |
TCP |
Клієнт або сервер |
UCCX |
Більше 1023 |
1504 |
Порт бази даних Contact Center Express |
SIP |
UDP й TCP |
сервер SIP GW або MCRP |
UCCX |
Більше 1023 |
5065 |
Зв’язок з віддаленими вузлами GW і MCRP |
XMPP |
TCP |
Клієнт |
UCCX |
Більше 1023 |
5223 |
Захищене XMPP-з’єднання між сервером Finesse і користувацькими програмами сторонніх розробників |
ССЗ |
TCP |
Клієнт |
UCCX |
Більше 1023 |
6999 |
Редактор для програм CCX |
HTTPS |
TCP |
Клієнт |
UCCX |
Більше 1023 |
7443 |
Захищене з’єднання BOSH між сервером Finesse і робочими столами операторів і наглядачів для зв’язку через HTTPS |
HTTP |
TCP |
Клієнт |
UCCX |
Більше 1023 |
8080 |
Клієнти звітування з реальними даними підключаються до сервера socket.IO |
HTTP |
TCP |
Клієнт |
UCCX |
Більше 1023 |
8081 |
Клієнтський браузер намагається отримати доступ до вебінтерфейсу Cisco Unified Intelligence Center |
HTTP |
TCP |
Клієнт |
UCCX |
Більше 1023 |
8443 |
GUI адміністратора, RTMT, доступ до БД через SOAP |
HTTPS |
TCP |
Клієнт |
UCCX |
Більше 1023 |
8444 |
Вебінтерфейс Cisco Unified Intelligence Center |
HTTPS |
TCP |
Браузер і клієнти REST |
UCCX |
Більше 1023 |
8445 |
Захищений порт для Finesse |
HTTPS |
TCP |
Клієнт |
UCCX |
Більше 1023 |
8447 |
HTTPS – онлайн-довідка Unified Intelligence Center |
HTTPS |
TCP |
Клієнт |
UCCX |
Більше 1023 |
8553 |
Компоненти єдиного входу (SSO) отримують доступ до цього інтерфейсу, щоб дізнатися робочий стан Cisco IdS. |
HTTP |
TCP |
Клієнт |
UCCX |
Більше 1023 |
9080 |
Клієнти, які намагаються отримати доступ до тригерів HTTP або документів / підказок / граматик / поточних даних. |
HTTPS |
TCP |
Клієнт |
UCCX |
Більше 1023 |
9443 |
Захищений порт, що використовується для відповіді клієнтам, які намагаються отримати доступ до тригерів HTTPS |
TCP |
TCP |
Клієнт |
UCCX |
Більше 1023 |
12014 |
Це порт, через який клієнти звітування з реальними даними можуть підключатися до сервера socket.IO |
TCP |
TCP |
Клієнт |
UCCX |
Більше 1023 |
12015 |
Це порт, через який клієнти звітування з реальними даними можуть підключатися до сервера socket.IO |
CTI |
TCP |
Клієнт |
UCCX |
Більше 1023 |
12028 |
Сторонній клієнт CTI для CCX |
RTP (медіа) |
TCP |
Кінцевий пристрій |
UCCX |
Більше 1023 |
Більше 1023 |
Медіапорт відкривається динамічно за потреби |
RTP (медіа) |
TCP |
Клієнт |
Кінцевий пристрій |
Більше 1023 |
Більше 1023 |
Медіапорт відкривається динамічно за потреби |
Безпека клієнта
Захист Jabber і Webex за допомогою SIP OAuth
Клієнти Jabber і Webex автентифікуються за допомогою токена OAuth замість локально значимого сертифіката (LSC), який не вимагає ввімкнення функції проксі-сертифікатора (CAPF) (також для MRA). SIP OAuth, що працює зі змішаним режимом або без нього, було представлено в Cisco Unified CM 12.5(1), Jabber 12.5 і Expressway X12.5.
У Cisco Unified CM 12.5 ми маємо новий параметр у профілі безпеки телефону, який вмикає шифрування без LSC/CAPF, використовуючи єдиний транспортний рівень безпеки (TLS) + маркер OAuth в SIP REGISTER. Вузли Expressway-C використовують API вебслужби адміністративного XML (AXL) для інформування Cisco Unified CM про SN/SAN у своїх сертифікатах. Cisco Unified CM використовує цю інформацію для перевірки сертифіката Exp-C під час встановлення взаємного підключення TLS.
SIP OAuth вмикає медіа та шифрування сигналів без сертифіката кінцевого пристрою (LSC).
Cisco Jabber використовує короткочасні порти та захищені порти 6971 і 6972 через підключення HTTPS до сервера TFTP для завантаження файлів конфігурації. Порт 6970 є незахищеним портом для завантаження через HTTP.
Докладніше про конфігурацію SIP OAuth: Режим SIP OAuth .
Вимоги до DNS
Для виділеного екземпляра Cisco надає повне доменне ім’я для служби в кожному регіоні в такому форматі<customer> .<region> .wxc-di.webex.com наприклад, xyz.amer.wxc-di.webex.com .
Значення "клієнт" надається адміністратором як частина майстра першого налаштування (FTSW). Додаткову інформацію див Активація служби виділеного екземпляра .
Для підтримки локальних пристроїв, що підключаються до виділеного екземпляра, записи DNS для цього повного домену мають бути дозволені з внутрішнього сервера DNS клієнта. Щоб полегшити вирішення проблеми, клієнту потрібно налаштувати умовну переадресацію для цього повного домену на своєму сервері DNS, яка вказує на службу DNS для виділеного екземпляра. Служба DNS виділеного екземпляра є регіональною, і до неї можна підключитися за допомогою пірингу до виділеного екземпляра, використовуючи такі IP-адреси, як зазначено в таблиці нижче. IP-адреса служби DNS виділеного екземпляра .
Регіон/DC | IP-адреса служби DNS виділеного екземпляра |
Приклад умовного переадресації |
---|---|---|
AMER |
<customer>.amer.wxc-di.webex.com | |
SJC |
69.168.17.100 |
|
DFW |
69.168.17.228 |
|
EMEA |
<customer>.emea.wxc-di.webex.com |
|
LON |
178.215.138.100 |
|
AMS |
178.215.138.228 |
|
ЄС |
<customer>.eu.wxc-di.webex.com |
|
FRA |
178.215.131.100 |
|
AMS |
178.215.131.228 |
|
APJC |
<customer>.apjc.wxc-di.webex.com |
|
SIN |
103.232.71.100 |
|
TKY |
103.232.71.228 |
|
AUS |
<customer>.aus.wxc-di.webex.com | |
MEL |
178.215.128.100 |
|
SYD |
178.215.128.228 |
Параметр ping вимкнено для зазначених вище IP-адрес сервера DNS з міркувань безпеки. |
Доки не буде налаштовано умовну переадресацію, пристрої не зможуть реєструватися у виділеному екземплярі з внутрішньої мережі клієнта за допомогою пірингових посилань. Умовна переадресація не потрібна для реєстрації через мобільний і віддалений доступ (MRA), оскільки всі необхідні зовнішні записи DNS для полегшення MRA будуть попередньо підготовлені компанією Cisco.
У разі використання програми Webex як програмного клієнта викликів у виділеному екземплярі необхідно налаштувати профіль UC Manager у Control Hub для домену служби голосової підтримки (VSD) кожного регіону. Додаткову інформацію див Профілі UC Manager у Cisco Webex Control Hub . Програма Webex зможе автоматично вирішувати проблему Expressway Edge клієнта без втручання кінцевого користувача.
Домен служби голосової пошти буде надано клієнту як частина документа доступу партнера після завершення активації служби. |
Використовуйте локальний маршрутизатор для дозволу DNS телефону
Для телефонів, які не мають доступу до корпоративних серверів DNS, можна використовувати локальний маршрутизатор Cisco для переадресації запитів DNS до хмарного DNS виділеного екземпляра. Це позбавляє від необхідності розгортання локального сервера DNS і забезпечує повну підтримку DNS, зокрема кешування.
Приклад конфігурації :
!
IP-сервер DNS
IP-сервер імен<DI DNS Server IP DC1><DI DNS Server IP DC2>
!
Використання DNS у цій моделі розгортання є специфічним для телефонів і може використовуватися лише для вирішення FQDN з доменом із виділеного екземпляра клієнтів. |
Посилання
-
Cisco Collaboration 12.x Solution Reference Reference Network Designs (SRND), тема безпеки: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/srnd/collab12/collab12/security.html
-
Посібник із безпеки для Cisco Unified Communications Manager: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1SU2/cucm_b_security-guide-1251SU2.html