物理安全性

为Equinix -Me会议室位置和Cisco专用实例数据中心设施提供物理安全性非常重要。 当物理安全受到威胁时，可以发起简单的攻击，例如关闭客户交换机的电源导致服务中断。 通过物理访问，攻击者可以访问服务器设备、重置密码并获得交换机的访问权限。 物理访问还有助于更复杂的攻击，例如中间人攻击，这就是为什么第二个安全层，即网络安全至关重要的原因。

自加密驱动器用于托管UC应用程序的专用实例数据中心。

有关常规安全实践的更多信息，请参阅以下位置的文档： https：//www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html。

网络安全

合作伙伴需要确保在专用实例基础结构（通过Equinix连接）中保护所有网络元素。 合作伙伴有责任确保安全最佳实践，例如：

• 用于语音和数据的单独VLAN

• 启用端口安全性，限制每个端口允许的MAC地址数量，防止CAM表泛波

• IP源保护，防止被欺骗的IP地址

• 动态ARP Inspection (DAI)检查地址解析协议(ARP)和无偿ARP(GARP)的违规行为（针对ARP欺骗）

• 802.1x 限制网络访问，以在分配的 VLAN 上验证设备（电话支持 802.1x）

• 配置服务质量(QoS)以适当标记语音数据包

• 用于阻止任何其他流量的防火墙端口配置

终端安全性

Cisco终端支持默认安全功能，例如签名固件、安全启动（所选型号）、制造商安装的证书(MIC)和签名配置文件，这些功能为终端提供一定级别的安全性。

此外，合作伙伴或客户可以启用额外的安全性，例如：

• 加密Extension Mobility等服务的IP电话服务（通过HTTPS）

• 从证书颁发机构代理功能(CAPF)或公共证书颁发机构(CA)颁发本地有效证书(LSC)

• 加密配置文件

• 加密媒体和信令

• 如果未使用这些设置，则禁用这些设置： PC端口，PC语音VLAN访问，免费ARP，Web访问，设置按钮，SSH，控制台

在专用实例中实施安全机制可防止电话和Unified CM服务器的身份盗窃、数据篡改以及呼叫信令/媒体流篡改。

网络上的专用实例：

• 建立和维护经验证的通信流

• 在将文件传输到电话之前对文件进行数字签名

• 加密Cisco Unified IP电话之间的媒体流和呼叫信令

安全性默认为Cisco Unified IP电话提供以下自动安全功能：

• 电话配置文件签名

• 支持电话配置文件加密

• 使用Tomcat和其他Web服务(MIDlet)的HTTPS

对于Unified CM 8.0版之后的版本，默认情况下提供这些安全功能，不运行证书信任列表(CTL)客户端。

由于网络中有大量电话且IP电话内存有限，Cisco Unified CM通过信任验证服务(TVS)充当远程信任存储，因此无需在每部电话上放置证书信任存储。 Cisco IP电话联系TVS服务器进行验证，因为它们无法通过CTL或ITL文件验证签名或证书。 拥有中央信任存储区比在每部Cisco Unified IP电话上拥有信任存储区更易于管理。

TVS使Cisco Unified IP电话能够在HTTPS建立期间验证应用程序服务器，例如EM服务、目录和MIDlet。

初始信任列表(ITL)文件用于初始安全性，以便终端可以信任Cisco Unified CM。 ITL不需要明确启用任何安全功能。 安装集群时会自动创建ITL文件。 Unified CM普通文件传输协议(TFTP)服务器的私钥用于对ITL文件签名。

当Cisco Unified CM群集或服务器处于非安全模式时，ITL文件会下载到每部受支持的Cisco IP电话上。 合作伙伴可以使用CLI命令admin：show itl查看ITL文件的内容。

Cisco IP电话需要ITL文件来执行以下任务：

• 安全地与CAPF通信，这是支持配置文件加密的前提条件

• 验证配置文件签名

• 在使用TVS建立HTTPS期间验证应用服务器，例如EM服务、目录和MIDlet

设备、文件和信令验证依赖于证书信任列表(CTL)文件的创建，该文件在合作伙伴或客户安装和配置Cisco证书信任列表客户端时创建。

CTL文件包含以下服务器或安全令牌的条目：

• 系统管理员安全令牌(SAST)

• 在同一服务器上运行的Cisco CallManager和Cisco TFTP服务

• 证书权限代理功能(CAPF)

• TFTP服务器

• ASA防火墙

CTL文件包含每个服务器的服务器证书、公钥、序列号、签名、颁发者名称、使用者名称、服务器功能、DNS名称和IP地址。

使用CTL的电话安全性提供以下功能：

• 使用签名密钥验证TFTP下载的文件（配置、区域设置、振铃列表等）

• 使用签名密钥加密TFTP配置文件

• IP电话的加密呼叫信令

• IP电话的加密呼叫音频（媒体）

专用实例提供终端注册和呼叫处理。 Cisco Unified CM和终端之间的信令基于安全瘦客户端控制协议(SCCP)或会话发起协议(SIP)，可以使用传输层安全性(TLS)进行加密。 从/到终端的媒体基于实时传输协议(RTP)，也可以使用安全RTP (SRTP)进行加密。

在Unified CM上启用混合模式可加密来自和发往Cisco终端的信令和媒体流量。

安全的UC应用程序

在专用实例中默认启用混合模式。

在专用实例中启用混合模式可启用信令和媒体流量在Cisco端点之间执行加密。

在Cisco Unified CM 12.5(1)发行版中，为JabBER和WeBEX客户端新增了基于SIP OAuth而非混合模式/CTL的信令和媒体加密选项。 因此，在Unified CM版本12.5(1)中，SIP OAuth和SRTP可用于为Jabber或Webex客户端启用信令和媒体加密。 Cisco IP电话和其他Cisco终端目前仍然需要启用混合模式。 计划在未来的发行版中添加对7800/8800终端中SIP OAuth的支持。

Cisco Unity Connection通过TLS端口连接到Unified CM。 当设备安全模式不安全时，Cisco Unity Connection会通过SCCP端口连接到Unified CM。

要为运行SCCP的Unified CM语音留言端口和Cisco 设备或运行SCCP的Cisco Unity Connection设备配置安全性，合作伙伴可以为端口选择安全的设备安全模式。 如果您选择已验证的语音邮件端口，将打开TLS连接，该连接使用相互证书交换（每个设备接受另一个设备的证书）来验证设备。 如果选择加密的语音邮件端口，系统会首先验证设备，然后在设备之间发送加密的语音流。

有关安全语音留言端口的更多信息，请参阅： https：//www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12.5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco- 125SU1_chapter_010001.html

保护Cisco Unified CM和CUBE之间的通信

对于Cisco Unified CM和CUBE之间的安全通信，合作伙伴/客户需要使用自签名证书或CA签名证书。

对于自签名证书：

1. CUBE和Cisco Unified CM生成自签名证书

2. CUBE将证书导出到Cisco Unified CM

3. Cisco Unified CM将证书导出到CUBE

对于CA签名的证书：

1. 客户端生成密钥对并将证书签名请求(CSR)发送到证书颁发机构(CA)

2. CA使用其私钥签名，创建身份证书

3. 客户端安装受信任的CA根证书和中介证书列表以及身份证书

协议摘要

下表显示了Unified CM解决方案中使用的协议和相关服务。

有关MRA配置的更多信息，请参阅： https：//www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

使用SIP OAuth保护Jabber和Webex

Jabber和Webex客户端通过OAuth令牌而不是本地有效证书(LSC)进行验证，这不需要证书权限代理功能(CAPF)启用（对于MRA）。 Cisco Unified CM 12.5(1)、Jabber 12.5和Expressway X12.5中引入了使用或不使用混合模式的SIP OAuth工作。

在Cisco Unified CM 12.5中，我们在电话安全性配置文件中有一个新选项，可在不使用LSC/CAPF的情况下启用加密，在SIP注册表中使用单传输层安全性(TLS) + OAuth令牌。 Expressway-C节点使用管理XML Web服务(AXL) API将其证书中的SN/SAN通知Cisco Unified CM。 建立MTLS连接时，Cisco Unified CM使用此信息验证Exp-C证书。

SIP OAuth在没有终端证书(LSC)的情况下启用媒体和信令加密。

Cisco Jabber通过HTTPS连接到TFTP服务器使用临时端口和安全端口6971和6972下载配置文件。 端口6970是通过HTTP下载的非安全端口。

有关SIP OAuth配置的更多详细信息： SIP OAuth模式。