要在本地设备上不使用 PIN 来主持 Webex 会议，您的 Cisco Expressway-E 必须为相互 TLS (mTLS) 连接提供来自可信根证书颁发机构 (RCA) 列表的签名证书。单击此处转至思科信任的根 CA 列表。由此列表中的机构签名的证书被视为有效，系统会允许连接。
| 1 |
转至。  |
| 2 |
检查最新的 Expressway 证书是否存在以及是否准确。  |
| 3 |
如果证书已安装，检查证书的到期日期以确认其是否有效，或者将其替换为有效证书。   |
| 4 |
检查签署此证书的根 CA，并确保其名称列于企业部署指南中。 |
| 5 |
检查证书是否配置了与组织设置匹配的正确 SAN（使用者备用名称）。  |
| 6 |
使用视频设备拨入个人会议室。如果可以连接，说明连接成功。 |
| 7 |
完成配置后，移至下一部分。 |
如果存在以下任一情况，生成 CSR。
-
没有 Expressway 服务器证书
-
证书已过期
-
需要更新 SAN，即 SAN 名称与 SIP 用户名不匹配
| 1 |
生成证书签名请求 (CSR) 流程。  |
| 2 |
确保证书中所需的 SAN 列于其他备用名称字段。  |
| 3 |
将 CSR 提交到所选的根 CA。从支持的列表中选择 CA。请参阅《适用于启用视频设备的会议的 Cisco Webex Meetings 企业部署指南》中的生成证书签名请求部分。 |
| 4 |
获取根 CA 签名的证书。 |
| 5 |
如果使用外部系统生成 CSR，还必须上传用于加密服务器证书的服务器私钥 PEM 文件。（如果使用 Expressway 为该服务器证书生成 CSR，则该私钥文件会更早自动生成并存储。）
|
| 6 |
单击上传服务器证书数据。  |
| 7 |
完成配置后，移至下一部分。 |
| 1 |
确保可信 CA 证书列表下列出了 Webex 证书的颁发机构。转至。
 |
||
| 2 |
可信 CA 证书列表中包含 QuoVadis 证书。要检查其是否为最新证书，请参阅《适用于启用视频设备的会议的 Cisco Webex Meetings 企业部署指南》。  |
||
| 3 |
单击可信 CA 证书，查找 QuoVadis 证书，然后单击最右侧的查看解码的证书按钮。
|
||
| 4 |
检查证书的属性 (SHA256)。 X509v3 机构密钥
DSTx3 根 CA
|
||
| 5 |
单击可信 CA。
|
||
| 6 |
如果未提供 CA 证书，请参阅《适用于启用视频设备的会议的 Cisco Webex Meetings 企业部署指南》中的配置可信 CA 列表。 |
-
检查您的 Expressway 上是否配置了域名系统 (DNS) 区域。
-
使用 DNS 的呼叫有两种类型：B2B（现有）和 Webex 呼叫。如果已设置 B2B 呼叫，我们建议为 Webex 呼叫设置唯一的 DNS 区域，以强制其使用 mTLS。
在 Expressway 版本 X8.10 及更高版本上，按照修改和创建 DNS 区域的步骤操作。
 |
在继续配置 Expressway 之前，请先备份现有的设置，以便始终可以恢复设置并返回到运行状态。 |
| 1 |
转至  |
||
| 2 |
如果有一个现有的 DNS 区域，选择该区域并进行编辑。  |
||
| 3 |
如果 DNS 区域不存在，请执行以下步骤：
|
||
| 4 |
确保呼叫经验证并且 B2B 呼叫不受影响。
|
||
| 5 |
完成配置后，移至下一部分。 |
为网络组件配置防火墙，以便在计算机、移动设备和视频设备上获得最高质量的 Webex 体验。
-
检查视频设备所用的媒体端口范围。
这些端口作为参考提供。有关完整的详细信息，请参阅部署指南和制造商建议。
表 1. 视频协作设备所用的默认端口 协议
端口号
方向
访问类型
备注
TCP
5060-5070
出站
SIP 信令
Webex 媒体边缘侦听 5060-5070。有关详细信息，请参阅所用特定服务的配置指南：《适用于启用视频设备的会议的 Cisco Webex Meetings 企业部署指南》。
TCP
5060、5061 和 5062
入站
SIP 信令
来自 Cisco Webex cloud 的入站 SIP 信令流量
TCP/UDP
临时端口 36000-59999
入站和出站
媒体端口
如果使用的是 Cisco Expressway，媒体范围需设置为 36000-59999。如果使用的是第三方视频设备或呼叫控制，则需要将其配置为使用此范围。
有关防火墙设置的详细信息，请参阅如何在我的网络上允许 Webex 会议流量。
