感谢您的反馈。

让我们假设一个 Webex 合作伙伴名为 TelSP，以此来说明该合作伙伴可以采用的不同部署模型。

以下是主要规格说明 & TelSP的要求：

• 合作伙伴计划使用 sip.telsp.com 作为其管理的所有客户共享的顶级域名。

• 合作伙伴拥有 sip.telsp.com 并可以管理 DNS 基础设施和证书颁发机构，管理 DNS 地址，并为该域及其子域签署证书。

• 合作伙伴可以部署两个不同的会话边界控制器（物理或虚拟）作为本地网关，以便在最终客户之间共享 PSTN 访问。

• 合作伙伴拥有两个物理站点，这两个站点共用PSTN网络连接：

  • 迈阿密

  • 芝加哥

• TelSP 代表两位客户 CustA 和 CustB（以下简称 CustA 和 CustB）运营其本地网关。

理想的方案是拥有公共交换电话网络（PSTN）。 origination/termination 如图所示，对于使用合作伙伴提供的迈阿密和芝加哥网关的两类客户：

简化的部署示例

以下简化示例演示了 Peer 证书身份如何使单个 证书支持多个客户中继：

• 证书 —sip.telsp.com

• 树干

  • custa.sip.telsp.com

  • custb.sip.telsp.com

• 同行证书身份 —sip.telsp.com

• 结果

  • 使用单一证书

  • 支持多个客户中继

将客户位置与主干网和网关关联起来

以下部分为上述 部署提供了详细的配置映射。

Webex Calling 允许创建中继线并在多个地点共享中继线。创建树干时，将树干与某个位置关联起来。

对于 CustA，主干详细信息如下：

该图显示了客户位置与网关和中继的关联，适用于 CustA:

在此部署中，与该位置关联的中继线是该位置的主要 PSTN 连接。 另一条中继线用作特定拨号计划条目的辅助 PSTN 连接或路由。 主备 PSTN 连接关系的实现是通过路由组概念实现的。 有关详细信息，请参阅 Control Hub 中的 配置网关中继部分。

对于 CustB，创建了类似的设置，包含以下几个中继：

该图显示了客户位置与网关和中继的关联，适用于 CustB:

图中显示了第三个位置，即纽约，您可以稍后添加该位置，并将其指向 trunk_chicago 中继线作为其主要 PSTN 连接。

部署共享多个中继的本地网关时，思科要求每个中继使用唯一的 FQDN。 有关详细信息，请参阅 配置 Webex 呼叫的中继、路由组和拨号计划 。

每个中继链路使用 IP 地址和众所周知的端口是理想的选择。然而，对于一些希望每个站点每个网关使用一个地址的合作伙伴来说，获取公共 IPv4 地址可能是一个挑战。

因此，请阅读以下重要提示：

• 思科并没有强制要求每个中继线路都分配一个 IP 地址。

• 中继地址可以解析为唯一的 IP 地址，也可以解析为与其他中继共享的地址。

• Cisco 建议在本地网关上为每个中继连接配置唯一的 IP 地址和端口组合，原因如下：

  1. 为每个中继线保持独立的 TCP 连接链路，可以实现每个中继线的最大并发呼叫容量。在多个中继线路之间共享 IP 地址和端口组合可能会对呼叫容量产生负面影响。

  2. 提供客户之间的网络级隔离

  3. 除非通过 IP 地址划分的唯一租户或租户的唯一监听端口提供隔离，否则会话边界控制器通常会重用临时 TCP 套接字连接。

  4. 通过租户隔离实现每个中继的连接或连接数，可以在数据丢失严重的网络条件下提供更高的吞吐量。因此，来自一个客户的流量不会影响另一个客户。

每个网关的 IP 地址：主干配置和建议

请参考以下不同规划模型的示例：

模型 1: 每个中继线都拥有唯一的 IP 地址。

在此模型中，两个网关托管的所有中继都解析为唯一的 IP 地址，并且每个中继可以使用也可能不使用相同的端口，但理想情况下使用相同的端口。

将信息以表格形式呈现：

在这种模式下，合作伙伴可以使用 SRV 地址。Webex Calling 仅允许使用“_sips._tcp”作为服务和协议组合来发现 SRV 记录中的对等地址。

SRV 记录解析方式示例

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.custa.sip.telsp.com

模型 2：每个网关共享 IP，唯一的监听端口

在此模型中，托管在芝加哥本地网关上的所有中继都解析到同一个 IP 地址，而托管在迈阿密本地网关上的所有中继都解析到不同的 IP 地址。但是，当使用相同的 IP 地址时，每个中继线都在控制中心使用 FQDN 进行配置，并配置一个唯一的端口。

在这个模型中，合作伙伴使用的是 SRV 地址。Webex Calling 仅允许使用“_sips._tcp”作为服务和协议组合来发现 SRV 记录中的对等地址。

SRV 记录如何解析的另一个示例如下。 在这个例子中，每个 IP 地址对应 1 条 A 记录。 但是，每个地址的端口都是唯一的，并且通过特定的 DNS 配置将 SRV 地址链接到正确的端口来表示。

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.sip.telsp.com

nslookup -type=srv _sips._tcp.trunk.miami.custb.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custb.sip.telsp.com = 3600 50 5062 miami.sip.telsp.com

对于基于 SRV 的中继，Peer 证书身份最初由配置的 SRV 值填充，可以自定义，但须遵守相同的验证规则。

合作伙伴拥有 telsp.com 及其子域名。因此，DNS 服务器以及获取由经批准的证书颁发机构签名的证书的权限都归合作伙伴所有。

• Cisco Webex 希望合作伙伴将 FQDN 或 SRV 地址（包括 A 记录）发布到公共领域。

• Cisco Webex希望合作伙伴使用 本文档中列出的证书颁发机构之一。

使用 FQDN 或 SRV 配置中继时：

• 每条中继仍必须具有唯一的 FQDN 以进行路由和识别

• DNS 记录（A 记录或 SRV）必须配置正确且可解析

• 这些 FQDN 用于信令和路由。 证书验证是 根据配置的 Peer 证书身份执行的，该身份默认为中继 FQDN 值，但 可以自定义为合作伙伴拥有的共享身份。

  Peer cert 身份字段从中继 FQDN 中预先填充，可以用合作伙伴拥有的共享域来 覆盖，以便在多个客户中继上使用单个证书。

设置网关

使用这些资源设置本地网关。

要设置 Cisco CUBE，请使用以下步骤：为 Webex Calling 配置 Cisco IOS XE 上的本地网关

您可以设置经批准的第三方 SBC，请参阅：本地网关入门

请按照以下指南设置合作伙伴托管网关：本地网关入门

根据 SBC 设备的相关说明设置每个中继线。有关 Cisco CUBE 的使用说明，请参阅：为 Webex Calling 配置 Cisco IOS XE 上的本地网关

根据图示，为中继线的传入和传出流量设置语音类、拨号对等体和拨号对等体组：

配置中继时，Control Hub 提供了在 “添加中继” 页面中配置对等 证书身份的选项。 此增强功能使合作伙伴能够在多个客户组织中配置和重复使用单个顶级 域，从而 简化了工作流程。 这种方法无需为每个客户或每个中继提供 单独的证书，从而减少了运营工作量并简化了 设置过程。

在 Control Hub 中配置中继时，定义对等证书身份， 以便在所有客户 组织中为您的顶级域使用单一证书。 确保证书的 CN 或 SAN 包含此顶级域。 通过 对等证书身份，本地网关使用单一证书，其 CN 或 SAN 包含 合作伙伴的共享域（例如 sip.telsp.com）。 不支持通配符证书（例如， *.sip.telsp.com）。 Webex Calling对于明确配置为该值 作为其对等证书标识的每个客户中继，都接受此证书。 该证书必须包含其 CN 或 SAN 中精确配置的对等证书 身份值。 这样就无需为单个中继 FQDN 配置单独的证书 或 CN/SAN 条目。

域名验证和证书使用

了解域名验证与证书使用有何不同非常重要：

• 域名验证（每位客户）— 每个客户组织都必须通过在 DNS 中 添加唯一的 TXT 记录来 独立验证域名（例如 sip.telsp.com）。 这样可以确保合作伙伴拥有域名并 防止未经授权的使用。

• 证书管理（全球）— 使用对等证书身份，可以在所有客户中继之间共享为合作伙伴的 顶级域颁发的单一证书。 无需为每个客户或每个 中继维护单独的证书。

同行证书身份行为

对等证书身份定义了本地网关提供的证书中Webex Calling期望的身份。

配置后：

• Webex Calling通过将配置的 Peer 证书身份 与证书中的 CN 或 SAN 进行匹配来验证证书

• 如果值匹配，则接受 TLS 连接

• 如果值不匹配，则连接将被拒绝

只有明确配置了匹配对等证书身份的中继才允许进行 身份验证。

仅凭证书验证并不是身份验证期间执行的唯一检查。 除了根据配置的对等证书身份验证证书 CN 或 SAN 之外， Webex Calling还要验证中继 FQDN 是否已明确配置以及是否与 Control Hub 中 匹配的对等证书身份相关联。

对等证书身份是根据中继的 FQDN/SRV 值预先填充的。 如果您保留 默认值，则现有的每中继证书行为将保持不变。 现有的 基于证书的中继无需修改即可继续运行。 您可以按照自己的节奏在新建或现有中继上采用共享的 Peer 证书身份，并且两种模式可以共存。

1. 有效的配置示例：

   • 证书 CN —sip.telsp.com

   • 证书 SAN —custa.sip.telsp.com

   • 同行证书身份 —custa.sip.telsp.com

   • 中继 FQDN —trunk.miami.custa.sip.telsp.com

   结果 —连接成功，因为对等证书身份 （custa.sip.telsp.com）与证书中的 SAN 值相匹配，而中继 FQDN （trunk.miami.custa.sip.telsp.com）是配置的对等证书身份的子域。

2. 连接失败示例：

   • 证书 CN —sip.telsp.com

   • 证书 SAN —custa.sip.telsp.com

   • 同行证书身份 —custb.sip.telsp.com

   • 中继 FQDN —trunk.miami.custb.sip.telsp.com

   结果 — TLS 握手时连接失败，因为证书的 CN 或 SAN 中不存在对等证书身份 (custb.sip.telsp.com)。 中继 FQDN 正确地是 Peer 证书身份的子域，但证书不带有该身份。

3. 无效的配置示例：

   • 证书 CN —sip.telsp.com

   • 证书 SAN —custa.sip.telsp.com

   • 同行证书身份 —custa.sip.telsp.com

   • 中继 FQDN —trunk.miami.custb.sip.telsp.com

   结果 —Control Hub 在保存时拒绝此配置，因为中继 FQDN（trunk.miami.custb.sip.telsp.com）不等于配置的对等证书身份（custa.sip.telsp.com）或其子域。

从合作伙伴中心，您可以启动 CustA 或 CustB 的控制中心并配置网关。使用以下步骤为每个客户进行配置：

1. 创建树干——在下方添加树干 Calling/Call Routing/Trunk 对于每个合作伙伴共享网关。要设置中继，请参阅 配置 Webex Calling 的中继、路由组和拨号计划

2. 添加域并验证—添加并验证以下用于创建主干的域 Management/Organization Settings/Domains.

   客户 B	客户 C
   sip.telsp.com	sip.telsp.com

   添加域时，会生成一个令牌并将其放置在合作伙伴 DNS 服务器中该域的 TXT 记录中。此记录允许 Control Hub 验证该域名是否归合作伙伴所有。详情请参阅 管理您的域名

   通用域名用于对每位客户进行验证。 但是，由于此验证是在客户组织级别进行的，因此请确保为每个客户组织生成不同的令牌并用于验证。 由于跨客户组织使用单一 域名，因此即使共享同一个域名，每个客户组织也必须使用唯一的 TXT 记录 独立验证 域名。

   对等证书身份仅需要域验证。 不要向客户组织申领共享 域。 一个域名只能由一个组织认领， 而同一个域名可以在多个组织中进行验证。

3. 使用 FQDN 设置 SBC 地址—

   前往迈阿密门户：

   参数	客户 B	客户 C
   地点	丹佛	波士顿
   中继名称	trunk_miami	trunk_miami
   中继类型	基于证书	基于证书
   设备类型	例如 Cisco Unified Border Element（或其他受支持的设备）	例如 Cisco Unified Border Element（或其他受支持的设备）
   SBC 地址类型	FQDN	FQDN
   主机名	lgw.miami	lgw.miami
   域	sip.telsp.com	sip.telsp.com
   端口	5061	5062
   FQDN	lgw.miami.customerb.sip.telsp.com: 5061	lgw.miami.customerc.sip.telsp.com: 5062
   最大并发调用数（250-6500）	500	500

   前往芝加哥的门户：

   参数	客户 B	客户 C
   地点	底特律	达拉斯
   中继名称	trunk_chicago	trunk_chicago
   中继类型	基于证书	基于证书
   设备类型	例如 Cisco Unified Border Element（或其他受支持的设备）	例如 Cisco Unified Border Element（或其他受支持的设备）
   SBC 地址类型	FQDN	FQDN
   主机名	lgw.chicago	lgw.chicago
   域	sip.telsp.com	sip.telsp.com
   端口	5061	5062
   FQDN	lgw.chicago.customerb.sip.telsp.com: 5061	lgw.chicago.customerc.sip.telsp.com: 5062
   最大并发调用数（250-6500）	500	500

   • （可选）中继名称不必在客户组织中是唯一的。 重复使用相同的名称（例如 trunk_miami）可以使中继更易于跟踪。

   • 某些单板计算机允许配置同一个端口，但这种配置可能会影响容量。因此，请使用不同的端口。

4. 同行证书身份—

   • 前缀 —前缀是可选的。 将其留空，仅将对等证书身份设置 为该域。 这是本文中使用的共享证书模型（对等 证书身份——sip.telsp.com，涵盖所有客户中继）。 （可选）输入 前缀以定义更具体的证书身份（例如，每位 客户证书的前缀：customerB，域：Customerb.sip.Telsp.com）。 中 继 FQDN 本身仍由 SBC 地址主机名和域字段定义，并且 必须等于或等于生成的对等证书身份的子域。

     示例：

     前缀 — 客户 B

     域名 — sip.telsp.com

     结果 — customerb.sip.telsp.com

   • 域名：从客户 组织中验证的域名列表中选择一个域名。 生成的对等证书身份（前缀 + 域）必须与 SBC 提供的证书的 CN 或 SAN 相匹配。 Webex Calling使用此值对 TLS 连接进行身份验证。

     

     Control Hub 在保存时拒绝此配置，因为中继 FQDN 不在 配置的对等证书身份下。

     如果对等证书身份与 SBC 提供的证书中的 CN 或 SAN 不匹配，则Webex Calling拒绝 TLS 连接，中继无法 建立。

5. 使用中继线——由于以下原因，可以选择任意位置作为中继线：

   • PSTN 连接中的任何位置都可以使用中继线。

   • 您可以通过路由组访问主干。

   • 任何拨号方案都可以使用该中继线。

6. 请参阅主干定义及其关联位置：

   

   你可以使用这些中继来创建路由组。在图中，定义了一个路由组 rg_miami_chicago ，它将呼叫路由到 trunk_miami 中继作为主要选项，将呼叫路由到 trunk_chicago 中继作为次要选项。

   

   您可以定义第二个路由组 rg_chicago_miami ，将呼叫路由到 trunk_chicago 中继作为主要选项，将呼叫路由到 trunk_miami 中继作为次要选项。

7. 现在，每个位置的 呼叫连接 PSTN 选项中都提供了已定义的中继线和路由组。图片中显示的是丹佛的位置。

   

8. 您可以在拨号方案定义中使用中继线和路由组。例如，图中所示的芝加哥客户本地号码范围被拆分，并终止到 rg_chicago_miami 路由组（适用于所有位置）：

   

   

使用 API 进行大规模配置

管理大量客户组织的合作伙伴可以 使用 API 而不是用户界面大规模配置域名。

• 验证域名

• 呼叫路由