专用实例的网络要求

物理安全

向 Equinix Meet-Me 协作室位置和 Cisco 专用实例数据中心设备提供物理安全性非常重要。 当物理安全被破坏时，攻击者就可以发起简单攻击，例如关闭客户的交换机电源，以造成服务中断。 通过物理访问，攻击者可以访问服务器设备，重设密码并访问交换机。 物理访问还有助于实施更复杂的攻击，例如中间人攻击，这也是第二个安全层（网络安全）至关重要的原因。

自助加密驱动器用于托管 UC 应用程序的专用实例数据中心。

有关常规安全实践的详细信息，请参阅以下位置的文档： https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html。

网络安全

合作伙伴需要确保所有网络元素在专用实例基础设施（通过 Equinix 进行连接）中受到保护。 合作伙伴负责确保安全最佳实践，例如：

• 针对语音和数据分隔 VLAN

• 启用端口安全，以限制每个端口允许的 MAC 地址数量，防止 CAM 表溢满

• 针对欺骗性 IP 地址的 IP 源防御

• 动态 ARP 检查 (DAI) 检查地址解析协议 (ARP) 和免费 ARP (GARP) 中是否有违规情况（针对 ARP 电子欺骗）

• 802.1x 限制网络访问，以在分配的 VLANS 上验证设备（电话支持 802。1x）

• 针对语音数据包的合适标记配置服务质量 (QoS)

• 用于阻止任何其他流量的防火墙端口配置

终端安全

Cisco 终端支持缺省安全功能，例如签名固件、安全启动（所选型号）、制造商安装的证书 (MIC) 和签名配置文件，这些为终端提供了一定程度的安全性。

此外，合作伙伴或客户还可以启用额外安全性，例如：

• 为 Extension Mobility 等服务加密 IP 电话服务（通过 HTTPS）

• 颁发来自认证中心代理功能 (CAPF) 或公共认证中心 (CA) 的本地重要证书 (LSC)

• 加密配置文件

• 加密媒体和信令

• 如果未使用以下设置，请将其禁用： PC 端口、PC 语音 VLAN 访问、免费 ARP、Web 访问、“设置”按钮、SSH、控制台

在专用实例中实施安全机制可防止电话和 Unified CM 服务器的身份盗窃、数据篡改以及呼叫信令/媒体流篡改。

网络上的专用实例：

• 建立和维护经验证的通信流

• 在将文件传输到电话之前对文件进行数字签名

• 加密 Cisco Unified IP 电话之间的媒体流和呼叫信令

安全的 UC 应用程序

保护 Cisco Unified CM 和 CUBE 之间的通信

要在 Cisco Unified CM 和 CUBE 之间进行安全通信，合作伙伴/客户需要使用自签名证书或 CA 签名证书。

对于自签名证书：

1. CUBE 和 Cisco Unified CM 生成自签名证书

2. CUBE 将证书导出到 Cisco Unified CM

3. Cisco Unified CM 将证书导出到 CUBE

对于 CA 签名证书：

1. 客户端生成密钥对并将证书签名请求 (CSR) 发送给认证中心 (CA)

2. CA 使用其私钥对其进行签署，从而创建身份证书

3. 客户端安装受信任的 CA 根证书和中间证书以及身份证书的列表

协议摘要

下表显示 Unified CM 解决方案中使用的协议和相关服务。

有关 MRA 配置的更多信息，请参阅： https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

使用 SIP OAuth 保护 Jabber 和 Webex

Jabber 和 Webex 客户端通过 OAuth 令牌而非本地重要证书 (LSC) 进行身份验证，该证书不要求启用认证中心代理功能 (CAPF)（也需启用 MRA）。 Cisco Unified CM 12.5(1)、Jabber 12.5 和 Expressway X12.5 中引入使用或不使用混合模式的 SIP OAuth。

在 Cisco Unified CM 12.5 中，我们在电话安全档案中新增了一个选项，可在无 LSC/CAPF 的情况下在 SIP REGISTER 中使用单一传输层安全性 (TLS) + OAuth 令牌进行加密。 Expressway-C 节点使用 Administrative XML Web Service (AXL) API，通知 Unified CM 其证书中的 SN/SAN。 Cisco Unified CM 在建立相互 TLS 连接时，会使用此信息验证 Exp-C 证书。

SIP OAuth 在没有终端证书 (LSC) 的情况下启用媒体和信令加密。

Cisco Jabber 通过与 TFTP 服务器的 HTTPS 连接使用 Ephemeral 端口和安全端口 6971 和 6972 来下载配置文件。 端口 6970 是通过 HTTP 下载的非安全端口。

有关 SIP OAuth 配置的更多详细信息： SIP OAuth 模式。