感謝您的意見回饋。

讓我們假設一個 Webex 合作夥伴名為 TelSP，以此來說明該合作夥伴可以採用的不同部署模型。

以下是主要規格說明 & TelSP的要求：

• 合作夥伴計劃使用 sip.telsp.com 作為其管理的所有客戶共享的頂級網域。

• 合作夥伴擁有 sip.telsp.com 並可管理 DNS 基礎架構和憑證授權機構，管理 DNS 位址，並為該網域及其子網域簽署憑證。

• 合作夥伴可以部署兩個不同的會話邊界控制器（實體或虛擬）作為本機網關，以便在最終客戶之間共用 PSTN 存取。

• 合作夥伴擁有兩個實體站點，這兩個站點共用PSTN網路連線：

  • 邁阿密

  • 芝加哥

• TelSP 代表兩位客戶 CustA 和 CustB（以下簡稱 CustA 和 CustB）經營其本地閘道。

理想的方案是擁有公共交換電話網路（PSTN）。 origination/termination 如圖所示，對於使用合作夥伴提供的邁阿密和芝加哥網關的兩類客戶：

簡化的部署範例

下列簡化範例演示了對等憑證識別如何讓單一 憑證支援多個客戶幹線：

• 證書 — 網上網站

• 行李箱

  • 客戶網站。網上電子郵件

  • 網站客戶網站

• 對等證書身份 — 網上網站。telsp.com

• 結果

  • 使用單一證書

  • 支援多個客戶幹線

將客戶位置與主幹網路和網關關聯起來

下列各節提供上述 部署的詳細組態映射。

Webex Calling 允許建立中繼線並在多個地點共用中繼線。創建樹幹時，將樹幹與某個位置關聯。

對於 CustA，主幹詳細資料如下：

此圖顯示了客戶位置與網關和中繼的關聯，適用於 CustA:

在此部署中，與該位置關聯的中繼線是該位置的主要 PSTN 連線。 另一條中繼線用作特定撥號計劃條目的輔助 PSTN 連線或路由。 主備 PSTN 連線關係的實現是透過路由組概念來實現的。 如需詳細資 訊，請參閱「控制中樞」中的設定閘道幹線段落。

對於 CustB，創建了類似的設置，包含以下幾個中繼：

此圖顯示了客戶位置與網關和中繼的關聯，適用於 CustB:

圖中顯示了第三個位置，即紐約，您可以稍後添加該位置，並將其指向 trunk_chicago 中繼線作為其主要 PSTN 連接。

部署共用多個幹線的本機閘道時，Cisco 會指令每個主幹使用唯一的 FQDN。 有關詳細信息，請參閱 配置 Webex 呼叫的中繼、路由組和撥號計劃 。

每個中繼連結使用 IP 位址和眾所周知的連接埠是理想的選擇。然而，對於一些希望每個站點每個網關使用一個位址的合作夥伴來說，取得公共 IPv4 位址可能是一個挑戰。

因此，請閱讀以下重要提示：

• 思科並沒有強制要求每個中繼線路都分配一個 IP 位址。

• 中繼位址可以解析為唯一的 IP 位址，也可以解析為與其他中繼共用的位址。

• Cisco 建議在本機閘道上為每個中繼連線設定唯一的 IP 位址和連接埠組合，原因如下：

  1. 為每個中繼線保持獨立的 TCP 連線鏈路，可以實現每個中繼線的最大並發呼叫容量。在多個中繼線路之間共用 IP 位址和連接埠組合可能會對通話容量產生負面影響。

  2. 提供客戶之間的網路層級隔離

  3. 除非透過 IP 位址劃分的唯一租用戶或租用戶的唯一監聽連接埠提供隔離，否則會話邊界控制器通常會重複使用臨時 TCP 套接字連線。

  4. 透過租用戶隔離實現每個中繼的連接或連接數，可以在資料遺失嚴重的網路條件下提供更高的吞吐量。因此，來自一個客戶的流量不會影響另一個客戶。

每個網關的 IP 位址：主幹配置和建議

請參考以下不同規劃模型的範例：

模型 1: 每個中繼線都擁有唯一的 IP 位址。

在此模型中，兩個網關託管的所有中繼都解析為唯一的 IP 位址，並且每個中繼可以使用或不使用相同的端口，但理想情況下使用相同的端口。

將資訊以表格形式呈現：

在這種模式下，合作夥伴可以使用 SRV 位址。Webex Calling 僅允許使用「_sips._tcp」作為服務和協議組合來發現 SRV 記錄中的對等位址。

SRV 記錄解析方式範例

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.custa.sip.telsp.com

模型 2：每個閘道共用 IP，獨特的監聽端口

在此模型中，託管在芝加哥本地網關上的所有中繼都解析到同一個 IP 位址，而託管在邁阿密本地網關上的所有中繼都解析到不同的 IP 位址。但是，當使用相同的 IP 位址時，每個中繼線都在控制中心使用 FQDN 進行配置，並配置一個唯一的連接埠。

在這個模型中，合作夥伴使用的是 SRV 地址。Webex Calling 僅允許使用「_sips._tcp」作為服務和協議組合來發現 SRV 記錄中的對等位址。

SRV 記錄解析方式的另一個範例如下。 在這個例子中，每個 IP 位址對應 1 筆 A 記錄。 但是，每個位址的連接埠都是唯一的，並且透過特定的 DNS 配置將 SRV 位址連結到正確的連接埠來表示。

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.sip.telsp.com

nslookup -type=srv _sips._tcp.trunk.miami.custb.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custb.sip.telsp.com = 3600 50 5062 miami.sip.telsp.com

對於以 SRV 為基礎的幹線，對等證書識別最初是從設定的 SRV 值填入，並且可以根據相同的驗證規則進行自訂。

合作夥伴擁有 telsp.com 及其子網域。因此，DNS 伺服器以及取得經核准的憑證授權單位所簽署的憑證的權限都歸合作夥伴所有。

• Cisco Webex 希望合作夥伴將 FQDN 或 SRV 位址（包括 A 記錄）發佈到公共領域。

• Cisco Webex期望合作夥伴使用本文件中列出的其中一 個憑證授權單位。

使用 FQDN 或 SRV 設定幹線時：

• 每個主幹仍然必須具有唯一的 FQDN 來進行路由和識別

• DNS 記錄 (A 記錄或 SRV) 必須正確設定並可解析

• 這些 FQDN 用於信號和路由。 憑證驗證是根據已設定的 對等憑證識別執行，該身份預設為主幹 FQDN 值，但可以自訂為合作夥 伴擁有的共用身份識別。

  對等憑證識別欄位會從主幹 FQDN 預先填入，並且可以用合作夥伴擁有的共用網域 覆寫，以便在多個客戶幹線上使用單一憑證。

設定網關

使用這些資源設定本機網關。

若要設定 Cisco CUBE，請使用下列步驟：在 Cisco IOS XE 上為本機閘道設定 Webex Calling

您可以設定經批准的第三方 SBC，請參閱：本機閘道入門

請依照以下指南設定合作夥伴託管網關：本機閘道入門

根據 SBC 設備的相關說明設定每個中繼線。有關 Cisco CUBE 的使用說明，請參閱：在 Cisco IOS XE 上為本機閘道設定 Webex Calling

根據圖示，為中繼線的傳入和傳出流量設定語音類、撥號對等體和撥號對等體組：

在佈建幹線時，Control Hub 提供一個選項，可在「新增主管」 頁面中設定對等證書識別。 此增強功能 可讓合作夥伴在多個客戶組織中設定和重複使用單一頂層 網域，藉此簡化工作流程。 這種方法消除了每個客戶或 主幹單獨的憑證的需求，從而減少營運費用並簡化 設定程序。

在 Control Hub 中設定幹線時，請定義對等證書識別， 以在所有客戶 組織中為您的頂層網域使用單一憑證。 請確定憑證的 CN 或 SAN 包含此頂層網域。 使用 對等證書識別，本機閘道會使用單一憑證，其 CN 或 SAN 包含合作夥 伴的共用網域 (例如 sip.telsp.com)。 不支援萬用字元憑證 (例如 *.sip.telsp.com)。 Webex Calling對於明確設定該值作為對等證書識別的每個 客戶幹線接受此憑證。 憑證必須在其 CN 或 SAN 中包含確切設定的對等證書 識別值。 這樣就不需要為個別的主幹 FQDN 設定單獨的憑證 或 CN/SAN 項目。

網域驗證和憑證使用

瞭解網域驗證與憑證使用方式有何不同，非常重要：

• 網域驗證 (每位客戶)-每個客戶組織必須 透過在 DNS 中新增唯一的 TXT 記錄來 獨立驗證網域 (例如 sip.telsp.com)。 這可確保合作夥伴擁有該網域，並防 止未經授權的使用。

• 憑證管理 (全域) — 針對合作夥伴的 頂層網域發出的單一憑證可以在所有客戶幹線上使用對等證書身份共用。 不需要每個客戶或每個主幹保持單獨的 憑證。

同行證認證身份行為

對等證書識別定義本機閘道Webex Calling所顯示的憑證中預期的身分。

配置時：

• Webex Calling透過將設定的對等憑證識別與憑證中的 CN 或 SAN 相匹配來驗證憑證

• 如果值相符，則接受 TLS 連接

• 如果值不匹配，則會拒絕連接

僅允許使用相符的對等證證識別明確設定的幹線進行 驗證。

僅憑證驗證並不是在驗證期間執行的唯一檢查。 除了根據已設定的對等證書身分驗證憑證 CN 或 SAN 之外， Webex Calling還會驗證主幹 FQDN 是否已明確設定並與 Control Hub 中的相符對等證書識別碼 相關聯。

對等證書識別是從主幹 FQDN/SRV 值預先填入。 如果保留預設值 ，現有的每個主幹憑證行為將不變。 現有以 憑證為基礎的行李繼續運作，而無需修改。 您可以按照自己的步調在新 的或現有行動幹上採用共用的對等證證識別，這兩種模型都可以共存。

1. 有效的組態範例：

   • 中文證書 — 網站網站

   • SAN 憑證 — 網站客戶網站。telsp.com

   • 對等證書身份-客戶。網站。telsp.com

   • 行李箱服務網站 —— 支架。邁阿密·庫斯塔 .sip.telsp.com

   結果-連線成功，因為對等憑證識別 (custa.sip.telsp.com) 與憑證中的 SAN 值相符，而且中繼 FQDN (trunk.miami.custa.sip.telsp.com) 是設定對等憑證識別的子網域。

2. 連線失敗範例：

   • 中文證書 — 網站網站

   • SAN 憑證 — 網站客戶網站。telsp.com

   • 對等證書身份 — 客戶網站。telsp.com

   • 行李箱服務網站 —— 中央廣域網站 —— 邁阿密貨櫃台網站

   結果-由於憑證的 CN 或 SAN 中不存在對等證書識別 (custb.sip.telsp.com)，因為 TLS 握手時連線失敗。 主幹 FQDN 正確是 對等憑證識別的子網域，但憑證不具有該身份。

3. 無效的組態範例：

   • 中文證書 — 網站網站

   • SAN 憑證 — 網站客戶網站。telsp.com

   • 對等證書身份-客戶。網站。telsp.com

   • 行李箱服務網站 —— 中央廣域網站 —— 邁阿密貨櫃台網站

   結果-控制中樞在儲存時間拒絕此組態，因為主幹 FQDN (trunk.miami.custb.sip.telsp.com) 不等於或是設定的對等證證識別識別 (custa.sip.telsp.com) 的子網域。

從合作夥伴中心，您可以啟動 CustA 或 CustB 的控制中心並設定網關。使用以下步驟為每位客戶進行設定：

1. 創建樹幹－在下方加入樹幹 Calling/Call Routing/Trunk 對於每個合作夥伴共用網關。若要設定中繼，請參閱 設定 Webex Calling 的中繼、路由群組和撥號計畫

2. 新增網域並驗證—新增並驗證以下用於建立主幹的網域 Management/Organization Settings/Domains.

   客戶 B	客戶 C
   網上電話網	網上電話網

   新增網域時，會產生一個令牌並將其放置在合作夥伴 DNS 伺服器中該網域的 TXT 記錄中。此記錄可讓 Control Hub 驗證該網域是否由合作夥伴所有。詳情請參閱 管理您的網域

   通用網域用於對每個客戶進行驗證。 但是，由於此驗證是在客戶組織層級進行的，因此請確保為每個客戶組織產生不同的令牌並用於驗證。 因為每個客戶 組織都使用單一網域，而且每個客戶組織都必須 使用唯一的 TXT 記錄獨立驗證網域，即使共用相同 網域也是如此。

   對等證書身份只需要網域驗證。 請勿向客戶組 織申請共用網域。 網域只能由一個組織索取， 而同一網域可以在多個組織中進行驗證。

3. 使用 FQDN 設定 SBC 位址—

   前往邁阿密門戶：

   參數	客戶 B	客戶 C
   位置	丹佛	波士頓
   幹線名稱	行李箱 _ 邁阿密	行李箱 _ 邁阿密
   幹線類型	基於憑證	基於憑證
   裝置類型	例如 Cisco Unified Border Element（或其他支援的裝置）	例如 Cisco Unified Border Element（或其他支援的裝置）
   SBC 位址類型	FQDN	FQDN
   主機名稱	lgw. 邁阿密	lgw. 邁阿密
   網域	網上電話網	網上電話網
   連接埠	5061	5062
   FQDN	廣州邁阿密客戶網站:5061	廣州廣州邁阿密客戶網站:5062
   最大並發呼叫數（250-6500）	500	500

   前往芝加哥的門戶：

   參數	客戶 B	客戶 C
   位置	底特律	達拉斯
   幹線名稱	行李箱 _ 芝加哥	行李箱 _ 芝加哥
   幹線類型	基於憑證	基於憑證
   裝置類型	例如 Cisco Unified Border Element（或其他支援的裝置）	例如 Cisco Unified Border Element（或其他支援的裝置）
   SBC 位址類型	FQDN	FQDN
   主機名稱	LGW. 芝加哥	LGW. 芝加哥
   網域	網上電話網	網上電話網
   連接埠	5061	5062
   FQDN	芝加哥旅客戶網站:5061	芝加哥國際機場客戶服務網站:5062
   最大並發呼叫數（250-6500）	500	500

   • (選擇性) 總幹名稱不需要在客戶組織中是唯一的。 重複使用相同名稱 (例如 trunk_miami) 可讓行李箱更容易追蹤。

   • 某些單板計算機允許配置同一個端口，但這種配置可能會影響容量。因此，請使用不同的連接埠。

4. 同行證書身份 —

   • 前綴-前綴是選擇性的。 將其保留空白，即可將對等證書識別設置 為單獨的網域。 這是本文中使用的共享憑證模型（對等證書身份 — sip.tel sp.com，涵蓋所有客戶幹線）。 您可以選擇性地輸入 前綴以定義更特定的憑證識別 (例如，首碼： CustomerB、網域：Customerb.sip.telsp.com 的每位客戶憑證)。 主 幹 FQDN 本身仍然由 SBC 位址主機名稱和網域欄位定義，並且必須等於或 相等於產生的對等證證識別身分的子網域。

     範例：

     前綴 — 客戶 B

     網域名稱 — 網站通訊網站

     結果 — 客戶網站。Telsp.com

   • 網域：從客戶 組織中驗證的網域清單中選取網域。 產生的對等證書識別（前綴 + 網域）必須與 SBC 所顯示的憑證的 CN 或 SAN 相符。 Webex Calling使用此值來驗證 TLS 連線。

     

     控制中樞在儲存時間拒絕此組態，因為主幹 FQDN 不在 設定的對等證書身份下。

     如果對等證書識別與 SBC 所提供的憑證中的 CN 或 SAN 不符，則會拒絕 TLS 連線，Webex Calling而且主幹無法建立。

5. 使用中繼線－由於以下原因，可以選擇任意位置作為中繼線：

   • PSTN 連線中的任何位置都可以使用中繼線。

   • 您可以透過路由群組存取主幹。

   • 任何撥號方案都可以使用該中繼線。

6. 請參閱主幹定義及其關聯位置：

   

   你可以使用這些中繼來建立路由組。在圖中，定義了一個路由組 rg_miami_chicago ，它將呼叫路由到 trunk_miami 中繼作為主要選項，將呼叫路由到 trunk_chicago 中繼作為次要選項。

   

   您可以定義第二個路由組 rg_chicago_miami ，將呼叫路由到 trunk_chicago 中繼作為主要選項，將呼叫路由到 trunk_miami 中繼作為次要選項。

7. 現在，每個位置的 呼叫連線 PSTN 選項中都提供了已定義的中繼線和路由群組。圖片中顯示的是丹佛的位置。

   

8. 您可以在撥號方案定義中使用中繼線和路由群組。例如，圖中所示的芝加哥客戶本地號碼範圍被拆分，並終止到 rg_chicago_miami 路由組（適用於所有位置）：

   

   

使用 API 大規模佈建

管理大量客戶組織的合作夥伴可以 使用 API 而非使用 UI 大規模佈建網域。

• 驗證網域

• 通話路由