物理安全性

为 Equinix Meet-Me 会议室位置和Cisco专用实例数据中心设施。 当物理安全受到威胁时，可以发起简单的攻击，例如通过关闭客户交换机的电源来中断服务。 通过物理访问，攻击者可以访问服务器设备、重置密码以及访问交换机。 物理访问还促成了更复杂的攻击，例如中间人攻击，这就是第二安全层（网络安全）至关重要的原因。

自加密驱动器用于专用实例托管 UC 应用程序的数据中心。

有关一般安全措施的更多信息，请参阅位于以下位置的文档： https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html。

网络安全

合作伙伴需要确保所有网络元素都在专用实例基础设施（通过 Equinix 连接）。 合作伙伴有责任确保最佳实践，例如：

• 用于语音和数据的单独 VLAN

• 启用端口安全以限制每个端口允许的 MAC 地址数量，防止 CAM 表泛滥

• IP 源防范欺骗 IP 地址

• 动态 ARP 检查 (DAI) 检查地址解析协议 (ARP) 和免费 ARP (GARP) 是否有违规行为（针对 ARP 欺骗）

• 802.1x限制网络访问以验证分配的 VLAN 上的设备（电话确实支持 802.1x )

• 配置服务质量 (QoS)，以便对语音数据包进行适当标记

• 用于阻止任何其他流量的防火墙端口配置

终端安全性

Cisco终端支持缺省安全功能，例如签名固件、安全启动（特定型号）、制造商安装的证书 (MIC) 和签名配置文件，可为终端提供一定级别的安全性。

此外，合作伙伴或客户可以启用额外的安全性，例如：

• 为Extension Mobility等服务加密IP 电话服务（通过 HTTPS）

• 从证书权限代理功能(CAPF) 或公共证书颁发机构 (CA) 颁发本地有效证书 (LSC)

• 加密配置文件

• 加密媒体和信令

• 如果不使用，请禁用这些设置： PC 端口, PC 语音 VLAN 访问, 免费 ARP, Web 访问, 设置按钮, SSH, 控制台

在专用实例防止电话和Unified CM 服务器的身份盗用、数据篡改以及呼叫信令/媒体流篡改。

专用实例通过网络：

• 建立并维护已验证的通信流

• 在将文件传输到电话之前对文件进行数字签名

• 加密Cisco Unified IP 电话之间的媒体流和呼叫信令

缺省情况下，安全性为Cisco Unified IP 电话提供以下自动安全功能：

• 签署电话配置文件

• 支持电话配置文件加密

• 使用 HTTPS 与 Tomcat 和其他 Web 服务 (MIDlet)

对于Unified CM 8.0 版更高版本，默认情况下提供这些安全功能，而不运行证书信任列表 (CTL) 客户端。

由于网络中存在大量电话，并且 IP 电话的内存有限， Cisco Unified CM通过信任验证服务 (TVS) 充当远程信任存储区，因此不必在每部电话上放置证书信任存储区。 Cisco IP 电话联系 TVS 服务器进行验证，因为它们无法通过 CTL 或 ITL 文件验证签名或证书。 拥有中央信任存储区比在每个Cisco Unified IP 电话上拥有信任存储区更易于管理。

TVS 支持Cisco Unified IP 电话在 HTTPS 建立期间验证应用程序服务器，例如 EM 服务、目录和 MIDlet。

初始信任列表 (ITL) 文件用于初始安全性，以便终端可以信任Cisco Unified CM。 ITL 无需明确启用任何安全功能。 安装群集时会自动创建 ITL 文件。 Unified CM普通文件传输协议 (TFTP) 服务器的私钥用于签署 ITL 文件。

当Cisco Unified CM群集或服务器处于非安全模式时，ITL 文件会下载到每个受支持的Cisco IP 电话上。 合作伙伴可以使用CLI 命令admin:show itl 查看 ITL 文件的内容。

Cisco IP 电话需要 ITL 文件才能执行以下任务：

• 安全地与 CAPF 通信，这是支持配置文件加密的前提条件

• 验证配置文件签名

• 在使用 TVS 建立 HTTPS 期间，对应用程序服务器（例如 EM 服务、目录和 MIDlet）进行身份验证

设备、文件和信令验证依赖于证书信任列表 (CTL) 文件的创建，该文件在合作伙伴或客户安装和配置Cisco证书信任列表客户端时创建。

CTL 文件包含以下服务器或安全令牌的条目：

• 系统管理员安全令牌 (SAST)

• 在同一服务器上运行的Cisco CallManager和Cisco TFTP 服务

• Certificate Authority代理功能 (CAPF)

• TFTP 服务器

• ASA 防火墙

CTL 文件包含每台服务器的服务器证书、公钥、序列号、签名、颁发者名称、主题名称、服务器功能、DNS 名称和IP 地址。

使用 CTL 的电话安全性提供以下功能：

• 使用签名密钥验证 TFTP 下载的文件（配置、区域设置、响铃列表等）

• 使用签名密钥加密 TFTP 配置文件

• IP 电话的加密呼叫信令

• IP 电话的加密呼叫音频（媒体）

专用实例提供端点注册和呼叫处理。 Cisco Unified CM和终端之间的信令基于安全信令客户端控制协议(SCCP) 或会话发起协议 (SIP) ，并且可以使用传输层安全性 (TLS) 进行加密。 往返于终端的媒体基于实时传输协议 (RTP)，也可以使用安全 RTP (SRTP) 加密。

在Unified CM上启用混合模式可以对进出Cisco终端的信令和媒体流量进行加密。

安全的UC应用程序

混合模式在默认启用专用实例。

在 中启用混合模式专用实例能够对进出Cisco终端的信令和媒体流量执行加密。

在Cisco Unified CM版本 12.5(1) 中，为 Jabber 和 Webex 客户端添加了一个新选项，用于基于 SIP OAuth 而非混合模式/CTL 启用信令和媒体加密。 因此，在Unified CM版本 12.5(1) 中，可使用 SIP OAuth 和 SRTP 为 Jabber 或 Webex 客户端的信令和媒体启用加密。 目前， Cisco IP 电话和其他Cisco终端仍需要启用混合模式。 计划在未来的发行版中在 7800/8800 终端中添加对 SIP OAuth 的支持。

Cisco Unity Connection通过 TLS 端口连接到Unified CM 。 当设备安全模式为非安全时， Cisco Unity Connection通过 SCCP 端口连接Unified CM 。

要为Unified CM语音留言端口和运行 SCCP 的 Cisco Cisco Unity设备或运行 SCCP 的Cisco Unity Connection设备配置安全性，合作伙伴可以为端口选择安全的设备安全模式。 如果您选择已验证的语音邮件端口，将打开 TLS 连接，该连接将通过使用相互证书交换来验证设备（每个设备都接受另一个设备的证书）。 如果您选择加密的语音邮件端口，系统将首先验证设备，然后在设备之间发送加密的语音流。

有关安全语音留言端口的更多信息，请参阅： https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

保护Cisco Unified CM和CUBE之间的通信

为了在Cisco Unified CM和 CUBE 之间进行安全通信，合作伙伴/客户需要使用自签证书或 CA 签名证书。

对于自签名证书：

1. CUBE 和Cisco Unified CM生成自签名证书

2. CUBE 将证书导出到Cisco Unified CM

3. Cisco Unified CM将证书导出到 CUBE

对于 CA 签名的证书：

1. 客户端生成密钥对并向证书Certificate Authority(CA) 发送证书签名请求 (CSR)

2. CA 使用其私钥对其进行签名，从而创建身份证书

3. 客户端安装受信任的 CA 根证书和中间证书列表以及身份证书

协议摘要

下表显示Unified CM解决方案中使用的协议和关联服务。

有关 MRA 配置的更多信息，请参阅： https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

使用 SIP OAuth 保护 Jabber 和 Webex

Jabber 和 Webex 客户端通过 OAuth 令牌而非当地有效证书(LSC) 进行身份验证，本地有效证书 (LSC) 不需要启用证书权限代理功能(CAPF)（也适用于 MRA）。 Cisco Unified CM 12.5(1)、Jabber 12.5 和 Expressway X12.5 中引入了使用或不使用混合模式的 SIP OAuth。

在Cisco Unified CM 12.5 中，我们在电话安全配置文件中提供了一个新选项，可使用 SIP 注册中的单传输层安全(TLS) + OAuth 令牌启用无需 LSC/CAPF 的加密。 Expressway-C 节点使用管理 XML Web 服务 (AXL) API 来通知Cisco Unified CM其证书中的 SN/SAN。 Cisco Unified CM在建立 MTLS 连接时使用此信息来验证 Exp-C 证书。

SIP OAuth 无需终端证书 (LSC) 即可启用媒体和信令加密。

Cisco Jabber通过与 TFTP 服务器的 HTTPS 连接使用临时端口和安全端口 6971 和 6972 端口来下载配置文件。 端口 6970 是一个非安全端口，用于通过 HTTP 下载。

有关 SIP OAuth 配置的更多详细信息： SIP OAuth 模式。