专用实例网络和安全要求

物理安全性

向 Equinix Meet-Me 协作室位置和 Cisco 专用实例 数据中心设备提供物理安全性非常重要。当物理安全受到影响时，可能会发起简单攻击，例如关闭客户的交换机电源，以造成服务中断。通过物理访问，攻击者可以访问服务器设备、重置密码并访问交换机。物理访问还有助于进行更先进的攻击，例如中间人攻击，这也是第二层安全性层（网络安全）至关重要的原因。

自助加密驱动器用于托管 UC 应用程序的专用实例数据中心。

有关一般安全实践的更多信息，请参阅以下位置的文档：https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html。

网络安全

合作伙伴需要确保所有网络 元素在专用实例基础结构（通过 Equinix 进行连接）中安全保护。合作伙伴负责确保安全性最佳实践，例如：

• 分开语音和数据 VLAN

• 启用端口安全，该端口限制每个端口允许的 MAC 地址数量，与摄像头表格设置

• 防止欺骗 IP 地址的 IP 源防止

• 动态 ARP 检查 （DAI） 检查地址分辨率协议 （ARP） 和标准 ARP （GARP） 以违反 （针对 ARP 电子欺骗）

• 802.1x 限制网络访问，以在分配的 VLANS 上验证设备（电话支持 802。1x）

• 针对语音数据包的合适标记配置服务质量 （QoS）

• 用于阻止任何其他流量的防火墙端口配置

终端安全性

Cisco 终端支持缺省安全功能，例如签名固件、安全启动（所选型号）、制造商安装的证书 （MIC） 和签名配置文件，这些为终端提供一定的安全性。

此外，合作伙伴或客户还可以启用其他安全性，例如：

• 为 Extension Mobility 等服务加密 IP 电话服务（通过 HTTPS）

• 颁发来自证书颁发机构代理功能 （CAPF） 或公共认证中心 （CA） 的本地重要证书 （LSCs）

• 加密配置文件

• 加密媒体和信令

• 如果它们未使用，请禁用这些设置：PC 端口，PC 语音 VLAN 访问，免费 ARP，Web 访问，设置按钮，SSH，控制台

在专用实例中 实施安全机制可防止电话和 Unified CM 服务器的身份被篡改、数据被篡改以及呼叫信令/媒体流篡改。

网络上专用实例：

• 建立和维护经验证的通信流

• 在将文件传输到电话之前对文件进行数字签名

• 加密不同 IP 电话之间的媒体流Cisco Unified信令

缺省情况下，安全性功能为网络 IP 电话Cisco Unified安全功能：

• 签署电话配置文件

• 支持电话配置文件加密

• 使用 Tomcat 和其他 Web 服务 （MIDlet） 的 HTTPS

对于 Unified CM 发行版 8.0，这些安全功能在缺省情况下不运行证书信任列表 （CTL） 客户端提供。

由于网络中存在大量电话，且 IP 电话的内存有限，Cisco Unified CM 通过信任验证服务 （TVS） 充当远程信任库，因此无需在每个电话上放置证书信任库。Cisco IP 电话联系 TVS 服务器进行验证，因为他们无法通过 CTL 或 ITL 文件验证签名或证书。与在每个 ip 电话上存储信任库比在每个 IP 电话上拥有信任库Cisco Unified方便。

通过电视Cisco Unified IP 电话在 HTTPS 安装期间验证应用程序服务器（例如 EM 服务、目录和 MIDlet）。

初始信任列表 （ITL） 文件用于初始安全性，以便终端可以信任 Cisco Unified CM。ITL 不需要明确启用任何安全功能。ITL 文件在安装集群时自动创建。Unified CM 普通文件传输协议 （TFTP） 服务器的私钥用于签署 ITL 文件。

当Cisco Unified CM 集群或服务器进入非安全模式时，ITL 文件将下载到每个受支持的 Cisco IP 电话上。合作伙伴可以使用 CLI 命令查看 ITL 文件的内容，管理：show itl。

Cisco IP 电话需要 ITL 文件才能执行以下任务：

• 与 CAPF 安全地通信，这是支持配置文件加密的前提条件

• 验证配置文件签名

• 在使用 TVS 的 HTTPS 安装期间验证应用程序服务器（例如 EM 服务、目录和 MIDlet）

设备、文件和信令验证需要创建证书信任列表 （CTL） 文件，该文件是在合作伙伴或客户安装并配置 Cisco 证书信任列表客户端时创建的。

CTL 文件包含下列服务器或安全令牌的条目：

• 系统管理员安全令牌 （SAST）

• 在同一服务器上运行的 Cisco CallManager 和 Cisco TFTP 服务

• 认证中心代理功能 （CAPF）

• TFTP 服务器

• ASA 防火墙

CTL 文件包含服务器证书、公钥、序列号、签名、颁发者名称、主体名称、服务器功能、DNS 名称和每个服务器的 IP 地址。

使用 CTL 的电话安全性提供以下功能：

• 使用签名密钥验证 TFTP 下载的文件（配置、区域设置、响铃列表等）

• 使用签名密钥对 TFTP 配置文件进行加密

• IP 电话的加密呼叫信令

• IP 电话的加密呼叫音频（媒体）

专用实例 提供终端注册和呼叫处理。Cisco Unified CM 和终端之间的信令基于 Secure Skinny Client Control Protocol （SCCP） 或 会话发起协议 （SIP），可以使用传输层安全性 （TLS） 进行加密。传输至终端的媒体基于实时传输协议 （RTP），还可使用安全 RTP （SRTP） 进行加密。

在 Unified CM 上启用混合模式后，可以加密与 Cisco 终端之间的信令和媒体流量。

安全的UC应用程序

在专用实例中默认启用混合模式。

在专用实例中启用 混合 模式后，可以对 Cisco 终端之间的信令和媒体流量执行加密。

在 Cisco Unified CM 发行版 12.5（1）中，添加了针对 Jabber 和 Webex 客户端启用基于 SIP OAuth 而非混合模式 /CTL 进行信令和媒体加密的新选项。因此，在 Unified CM 发行版 12.5（1）中，SIP OAuth 和 SRTP 可用于为 Jabber 或 Webex 客户端启用信令和媒体加密。目前，Cisco IP 电话和其他 Cisco 终端需要启用混合模式。我们计划在未来发行版中为 7800/8800 终端添加对 SIP OAuth 的支持。

Cisco Unity Connection通过 TLS 端口连接到 Unified CM。如果设备安全模式不安全，Cisco Unity Connection通过 SCCP 端口连接到 Unified CM。

要配置运行 SCCP 或 Cisco Unity Connection 设备的 Unified CM 语音消息端口和 Cisco Unity 设备的安全性，合作伙伴可以选择该端口的安全设备安全模式。如果您选择经验证的语音邮件端口，TLS 连接将打开，该连接使用相互证书交换来验证设备（每个设备接受另一设备的证书）。如果您选择加密的语音邮件端口，系统会先验证设备，然后在设备之间发送加密的语音流。

有关安全语音消息端口的信息，请参阅： https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

保护Cisco Unified CM和CUBE之间的通信

对于 CISCO UNIFIED CM 和 CUBE 之间的安全通信，合作伙伴/客户需要使用自签名证书或 CA 签名证书。

对于自签名证书：

1. CUBE 和 Cisco Unified CM 生成自签名证书

2. CUBE 将证书导出到 Cisco Unified CM

3. Cisco Unified CM 向 CUBE 导出证书

对于 CA 签名证书：

1. 客户端生成密钥对并将证书签名请求 （CSR） 发送给证书颁发机构 （CA）

2. CA 使用其私钥来签署证书，从而创建身份证书

3. 客户端会安装受信任的 CA 根证书和一览表以及身份证书

协议摘要

下表显示 Unified CM 解决方案中使用的协议和相关服务。

有关 MRA 配置的信息，请参阅： https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

使用 SIP OAuth 保护 Jabber Webex安全

Jabber 和 Webex 客户端通过 OAuth 令牌而不是本地重要证书 （LSC） 进行验证，该证书不要求启用认证中心代理功能 （CAPF） （也需启用 MRA）。Cisco Unified CM 12.5（1）、Jabber 12.5 和 Expressway X12.5 中引入使用或不采用混合模式的 SIP OAuth。

在 Cisco Unified CM 12.5 中，我们在电话安全档案中新增了一个选项，可在无 LSC/CAPF 的情况下使用单传输层安全性 （TLS） + SIP REGISTER 中的 OAuth 令牌进行加密。Expressway-C 节点使用管理 XML Web Service （AXL） API 来Cisco Unified证书中的 SN/SAN 通知 CM。Cisco Unified CM 在建立安全连接时，会使用此信息验证 exp-C MTLS证书。

SIP OAuth 在没有终端证书 （LSC） 的情况下启用媒体和信令加密。

Cisco Jabber 通过到 TFTP 服务器的 HTTPS 连接使用临时端口和安全端口 6971 和 6972 端口来下载配置文件。端口 6970 是一个通过 HTTP 下载的非安全端口。

有关 SIP OAuth 配置的更多详细信息： OAuth模式。