專用實例網路與安全需求

實體安全性

為 Equinix 進會議室位置和 Cisco 專用 例項資料中心設備提供實體安全性很重要。當實體安全性受損時，可以發起簡單的攻擊，例如關閉客戶的交換器電源，以造成服務中斷。有了實體存取，攻擊者可以存取伺服器裝置、重設密碼，以及存取交換器。實體存取還可以協助更複雜的攻擊，例如中間人攻擊，這就是第二層安全性（網路安全）非常重要的原因。

自行加密磁片磁碟機用於託管 UC 應用程式的專用實例 資料中心。

有關一般安全性做法的更多資訊，請參閱位於以下位置的文件：https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html 。

網路安全

合作夥伴需要確保所有網路 元素在專用實例基礎結構（透過 Equinix 連接）中安全。確保安全性最佳做法（例如：）是合作夥伴的責任：

• 語音和資料單獨的 VLAN

• 啟用埠安全性，根據 CAM 表格介面限制每個埠允許的 MAC 位址數

• 防止欺詐的 IP 位址的 IP 來源保護

• 動態 ARP 檢查 （SPOOF） 會檢查位址解析通訊協定 （ARP） 和 gratuitous ARP （GARP） 的違規 （針對 ARP 欺詐）

• 802.1x 將網路存取限制于指定的 VLAN 上驗證裝置（電話支援 802）。1x）

• 服務品質 （QoS） 的組態，以適當標記語音封包

• 用於封鎖任何其他流量的防火牆埠組配置

端點安全性

Cisco 端點支援預設安全性功能，例如簽署的固件、安全開機（選取的型號）、製造商安裝的憑證 （MIC） 和簽署的設定檔，這些功能可為端點提供一定的安全性層級。

此外，合作夥伴或客戶可以啟用其他安全性，例如：

• 加密 IP 電話語音（透過 HTTPS）服務，如內線行動性

• 從憑證授權單位機構代理功能 （CAPF） 或公開憑證授權單位 （CA） 頒發本地重要證書 （LSC）

• 加密設定檔

• 加密媒體和訊號

• 若未使用這些設定，請停用這些設定：PC 埠， PC 語音 VLAN 存取， Gratuitous ARP， 網路存取， 設定按鈕， SSH， 主控台

在專用例項中 執行安全性機制可防止電話和 Unified CM 伺服器的身份遭到竊取、資料篡改以及通話訊號/媒體串流篡改。

網路專用 實例：

• 建立與維護已驗證的通訊流

• 在將檔案傳送至電話之前以數位方式簽署檔案

• 加密 IP 電話之間的媒體Cisco Unified訊號

預設的安全性為 IP 電話提供下列Cisco Unified安全性功能：

• 簽署電話組配置檔案

• 支援電話組配置檔案加密

• HTTPS 與 Tomcat 和其他 Web 服務 （MIDlet）

對於 Unified CM 8.0 版以後，這些安全性功能預設會提供，而不執行憑證信任清單 （CTL） 用戶端。

因為網路中存在大量電話，而且 IP 電話具有有限的記憶體，所以 Cisco Unified CM 會透過信任驗證服務 （TVS） 當做遠端信任儲存庫，因此憑證信任存放區無需放在每部電話上。Cisco IP 電話會聯絡 TVS 伺服器進行驗證，因為它們無法透過 CTL 或 ITL 檔案驗證簽章或憑證。與在每個 IP 電話上建立信任儲存庫相較，具有中央信任儲存庫Cisco Unified方便。

TVS 可讓Cisco Unified IP 電話在 HTTPS 建立期間驗證應用程式伺服器，例如 EM 服務、目錄和 MIDlet。

初始信任清單 （ITL） 檔案用於初始安全性，以便端點可以信任 Cisco Unified CM。ITL 不需要明確啟用任何安全性功能。安裝該集時，會自動建立 ITL 檔案。Unified CM 簡單檔案傳輸協定 （TFTP） 伺服器的私密金鑰用於簽署 ITL 檔案。

當 Cisco Unified CM 集或伺服器為非安全模式時，會下載 ITL 檔案至每個受支援的 Cisco IP Phone。合作夥伴可以使用 CLI 指令 admin：showl 來查看 ITL 檔案的內容。

Cisco IP 電話需要 ITL 檔案才能執行下列工作：

• 與 CAPF 安全地通訊，CAPF 是支援組設定檔加密的先決條件

• 驗證設定檔簽章

• 在使用 TVS 建立 HTTPS 期間驗證應用程式伺服器，例如 EM 服務、目錄和 MIDlet

裝置、檔案及訊號驗證依賴于建立憑證信任清單 （CTL） 檔案，此檔案是在合作夥伴或客戶安裝及設定 Cisco 憑證信任清單用戶端時建立。

CTL 檔案包含下列伺服器或安全權杖專案：

• 系統管理員安全性權杖 （SAST）

• 在同一伺服器上執行 Cisco CallManager 與 Cisco TFTP 服務

• 憑證授權單位機構代理功能 （CAPF）

• TFTP 伺服器

• ASA 防火牆

CTL 檔案包含每個伺服器的伺服器憑證、公開金鑰、序號、簽章、簽發者名稱、主體名稱、伺服器功能、DNS 名稱和 IP 位址。

CTL 的電話安全性提供下列功能：

• 使用簽署金鑰驗證 TFTP 下載的檔案（組、地區、響鈴清單等）

• 使用簽署金鑰加密 TFTP 設定檔

• IP 電話的加密通話訊號

• IP 電話的加密通話音訊（媒體）

專用實例 提供端點註冊和通話處理。Cisco Unified CM 與端點之間的訊號是以安全瘦小用戶端控制通訊協定 （SCCP） 或 階段作業起始通訊協定 （SIP） 為基礎，而且可以使用傳輸層安全性 （TLS） 加密。媒體從端點傳送/傳送給端點基於即時傳輸通訊協定 （RTP），並且也可以使用安全 RTP （SRTP） 加密。

在 Unified CM 上啟用混合模式可加密來自 Cisco 端點及至 Cisco 端點的訊號和媒體流量。

保護 UC 應用程式

專用實例中預設為啟用混合模式。

在專用例項中啟用 混合模式可啟用從 Cisco 端點到 Cisco 端點之間的訊號和媒體流量加密的能力。

在 Cisco Unified CM 12.5（1） 版中，針對 Jabber 和 Webex 用戶端新增了基於 SIP OAuth 而非混合模式 /CTL 的訊號和媒體加密的新選項。因此，在 Unified CM 12.5（1） 版中，SIP OAuth 和 SRTP 可用於對 Jabber 或 Webex 用戶端的訊號和媒體啟用加密。目前，Cisco IP 電話及其他 Cisco 端點會繼續要求啟用混合模式。計畫在未來發行版本中為 7800/8800 端點新增對 SIP OAuth 的支援。

Cisco Unity Connection TLS 埠連接至 Unified CM。當裝置安全性模式不安全時，Cisco Unity Connection SCCP 埠連接至 Unified CM。

若要為執行 SCCP 或 Cisco Unity Connection 裝置且執行 SCCP 的 Unified CM 語音留言埠及 Cisco Unity 裝置設定安全性，合作夥伴可以為此埠選擇安全裝置安全性模式。如果您選擇已驗證的語音信箱埠，TLS 連接會開啟，此連接會使用共同憑證交換來驗證裝置（每個裝置接受其他裝置憑證）。如果您選擇加密的語音信箱埠，系統會先驗證裝置，然後在裝置之間傳送加密的語音資料流程。

有關安全性語音留言埠的資訊，請參閱： https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

保護Cisco Unified CM與 CUBE 之間的通訊

為了在 Cisco Unified CM 和 CUBE 之間實現安全通訊，合作夥伴/客戶需要使用自我簽署憑證或 CA 簽署的憑證。

對於自我簽署憑證：

1. CUBE 和 Cisco Unified CM 會產生自我簽署憑證

2. CUBE 匯出憑證至 Cisco Unified CM

3. Cisco Unified CM 匯出憑證至 CUBE

對於 CA 簽署的憑證：

1. 用戶端產生金鑰組並將憑證簽署請求 （CSR） 傳送給憑證授權單位機構 （CA）

2. CA 使用私密金鑰來簽署它，建立身分憑證

3. 用戶端會安裝信任的 CA 根憑證與多彩憑證及身分憑證清單

通訊協定摘要

下表顯示 Unified CM 解決方案中使用的通訊協定及關聯服務。

有關 MRA 組配置的資訊，請參閱： https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

使用 SIP OAuth 保護 Jabber 和 Webex 的安全

Jabber 和 Webex 用戶端是透過 OAuth 權杖而非本地重要憑證 （LSC） 來驗證的，此憑證不需要憑證授權單位機構代理功能 （CAPF） 啟用（對於 MRA）。在 Cisco Unified CM 12.5（1）、Jabber 12.5 和 Expressway X12.5 中引進了使用或不含混合模式的 SIP OAuth。

在 Cisco Unified CM 12.5 中，我們在電話安全性設定檔中提供了一個新的選項，可在 SIP REGISTER 中使用單一傳輸層安全性 （TLS） + OAuth 權杖，以啟用不含 LSC/CAPF 的加密。Expressway-C 節點使用管理 XML Web 服務 （AXL） API，Cisco Unified CM 通知其憑證中的 SN/SAN。Cisco Unified CM 在建立快速連接時，會使用此資訊來驗證 Exp-Cert 雙向 TLS。

SIP OAuth 啟用不含端點憑證 （LSC） 的媒體和訊號加密。

Cisco Jabber 透過 HTTPS 與 TFTP 伺服器的暫時埠和安全埠 6971 及 6972 埠來下載組設定檔。埠 6970 是透過 HTTP 下載的非安全埠。

有關 SIP OAuth 組配置的更多詳細資訊：SIP OAuth 模式。