概觀

在TLS握手期間，標準TLS用戶端會檢查TLS伺服器憑證的有效性。 當透過網際網路部署 Jabber 時，此設定可能容易受到「中間人」攻擊。

在登入期間，如果黑客向他們自己的伺服器提供有效的TLS憑證而不是預期的 Expressway，則 Jabber 可能會因為沒有其他控制項而接受該憑證，這可能導致使用者將惡意系統連線。 為了避免此問題發生，Jabber 新增了一個額外的驗證步驟，它驗證在登入期間輸入的網域是否符合憑證中的主體別名 (SAN)。 如果相符，Jabber 會嘗試連線至 Expressway。

「憑證中的每個 SAN 項目都必須由憑證授權單位 (CA) 簽署。 這意味著只有擁有網域的公司才能收到 CA 簽署的憑證，並且 CA 驗證 SAN 項目。 因此，偽造 Expressway 的身分變得相當困難。」

在專用實例中， Cisco管理 UC 應用程式的憑證，因此憑證使用Cisco提供的網域簽署，例如， Customer.amer.wxc-di.webex.com 。 但是，對於一般使用者使用客戶電子郵件地址登入 Jabber 用戶端，可以透過以下選項來實現：

選項 1 - Jabber 初始一般一般使用者登入

Jabber 的初始一般一般使用者登入是最簡單的方法，下面詳細提供步驟：

  1. 輸入Cisco提供的語音服務網域，例如， user@customer.amer.wxc-di.webex.com在初始 Jabber 登入螢幕中。

    服務啟動後， Cisco會在每個地區共用客戶語音服務網域 此資訊是在Webex應用程式空間中共用的存取詳細資料文件的一部分。 有關更多詳細資訊，請參閱專用實例服務啟動。

  2. 輸入使用者名稱或公司電子郵件 ID 以及密碼進行驗證。

    如果SSO已啟用，IdP 會執行類似的操作。

    此後的登入不需要執行步驟 1，除非 Jabber 用戶端已重設。

選項 2： 使用語音服務網域

透過此方法，Jabber 用戶端可以區分使用者輸入的客戶網域與服務探索網域。 在安裝程式中若語音服務網域設定為Customer.amer.wxc-di.webex.com ，使用者可以使用其公司的電子郵件地址登入 Jabber 用戶端，Jabber 仍然可以根據語音服務網域中設定的值執行服務探索。 這樣便無需根據上述選項在初始 Jabber 登入時提供語音服務網域。

對於 Windows：

工具，例如Microsoft逆戟鯨可用於建立自訂 Jabber 安裝程式，其中可包含語音服務網域。 可指示使用者將這些安裝程式用於 Jabber 用戶端。

對於MAC、iOS、 Android：

可使用 MDM 等工具建立可包含語音服務網域的自訂 Jabber 安裝程式。

選項 3： 使用設定URL

配置URL用於在初始登入之前設定 Jabber 的參數，例如語音服務網域。 組態URL的一個範例： ciscojabber://provision?ServicesDomain=customer.com&VoiceServicesDomain=customer.amer.wxc-di.webex.com

透過按一下上述鏈結，可在MAC、 Android或 iOS 裝置上執行的 Jabber 用戶端中設定語音服務網域。

此組態不會持續，如果 Jabber 用戶端重設，則使用者需要再次按一下該鏈結。

Webex應用程式沒有上述要求，用戶端會執行網域檢查，但可以在 Control Hub 中佈建語音服務網域。 當Webex應用程式連線至Webex時，會取得語音服務網域並進行註冊。 如需Webex應用程式 應用程式內通話設定的相關資訊，請參閱Webex應用程式與應用程式內通話的專用實例整合。

有用的鏈結： Cisco Jabber 14.0 的內部部署