Ovaj odeljak pruža dodatni kontekst o ključnim stavkama konfiguracije koje se odnose na Hibridne usluge.

Ove tačke su ključne ako želite da uspešno primenite hibridno pozivanje za Vebek uređaje. Posebno smo istakli ove stavke iz sledećih razloga:

• Želimo da ih objasnimo, tako da razumete njihovu ulogu u hibridnoj primeni i osećate se uvereno.

• Oni su obavezni preduslovi koji obezbeđuju bezbednu implementaciju između našeg oblaka i vašeg lokalnog okruženja.

• Treba ih tretirati kao nulte aktivnosti pre dana: mogu potrajati malo duže od tipične konfiguracije u korisničkom interfejsu, pa dozvolite vremenski okvir da se ove stavke sortiraju.

• Nakon što se ove stavke pozabave u vašem okruženju, ostatak konfiguracije hibridnih usluga će proći glatko.

Primena parova Ekpressvai-C i Ekpressvai-E omogućava pozive na i sa Internet a koristeći tehnologije za prelazak zaštit nog zida. Ova primena je ono što bezbed no preuzima vašu lokalnu kontrolu poziva i povezuje je sa Vebek-om.

Ekpressvai-C i Ekpressvai-E ne zahtevaju otvaranje ulaznog porta u zaštitnom zidu demilitarizovane zone (DMZ) zbog arhitekture prelaska zaštitnog zida. Ali TCP SIP signalni portovi i UDP medijski portovi moraju se otvoriti dolazno na Internet zaštitnom zidu kako bi se omogućilo dolaznim pozivima. Morate da odvojite vreme da se otvori odgovarajući port na zaštitnom zidu vašeg preduzeća.

Arhitektura prelaska zaštitnog zida prikazana je na sledećem dijagramu:

Na primer, za ulazne pozive između preduzeća (B2B) koji koriste SIP protokol, TCP portovi 5060 i 5061 (5061 se koristi za SIP TLS) moraju se otvoriti na spoljnom zaštitnom zidu, zajedno sa UDP medijskim portovima koji se koriste za usluge kao što su glas, video, deljenje sadržaja, dvostruki video i tako dalje. Koje medijske portove treba otvoriti zavisi od broja istovremenih poziva i broja usluga.

Možete da konfigurišete SIP port za slušanje na brzoj putevi da bude bilo koja vrednost između 1024 i 65534. Istovremeno, ova vrednost i tip protokola moraju se oglašavati u javnim DNS SRV evidencijama, a ta ista vrednost mora biti otvorena na Internet zaštitnom zidu.

Iako je standard za SIP TCP 5060, a za SIP TLS 5061, ništa ne sprečava upotrebu različitih portova, kao što pokazuje sledeći primer.

Primer

U ovom primeru pretpostavljamo da se port 5062 koristi za dolazne SIP TLS pozive.

Zap DNS SRV is za skup dva servera za brzi put izgleda ovako:

_gutljaj. _tcp.ekample.com SRV lokacija servisa:

priority = 10

weight = 10

port = 5062

svr ime hosta = us-ekpe1.ekample.com

_gutljaj. _tcp.ekample.com SRV lokacija servisa:

priority = 10

weight = 10

port = 5062

svr ime hosta = us-ekpe2.ekample.com

Ovi zapisi znače da su pozivi usmereni na us-expe1.ekample.com i us-expe2.ekample.com sa jednakim deljenjem tereta (prioritet i težina) koristeći TLS kao vrstu transporta i 5062 kao broj porta za slušanje.

Uređaj koji je spoljni sa mrežom (na Internetu) i koji upućuje SIP poziv korisniku korporativnog domena (user1@example.com) mora da zatraži DNS da bi razumeo koji tip transporta treba koristiti, broj porta, kako učitati i deliti saobraćaj i na koje SIP servere treba poslati poziv.

Ako DNS unos uključuje _gutljaje. _tcp, un os određuje SIP TLS.

TLS je protokol klijent-server i, u najčešćim implementacijama, koristi sertifikate za autentifikaciju. U scenariju poziva između preduzeća, TLS klijent je uređaj za pozivanje, a TLS server je pozivni uređaj. Pomoću TLS-a klijent proverava sertifikat servera, a ako provera sertifik ata ne uspe, isključuje poziv . Klijentu nije potreban sertifikat.

TLS rukovanje prikazano je na sledećem dijagramu:

Međutim, TLS specifikacija navodi da server takođe može da proveri klijentski sertifikat slanjem poruke Zahtev za sertifikat klijentu tokom TLS protokola stiskanja ruke . Ova poruka je korisna za vezu server-server, kao što je na poziv koji je uspostavljen između Ekpressvai-E i Vebek oblaka. Ovaj koncept se naziva TLS sa međusobnom autentifikacijom i potreban je prilikom integracije sa Vebek-om.

I pozivajuće i pozvane strane proveravaju potvr du drugog vršnjaka, kao što pokazuje sledeći dijagram:

Oblak proverava identitet brze ceste, a brzi put proverava identitet oblaka. Na primer, ako se identitet oblaka u sertifikatu (CN ili SAN) ne podudara sa onim što je konfigurisano na Ekspresway-u, veza se prekida.

Ako je uključena međusobna autentifikacija, Ekpressvai-E uvek zahteva sertifikat klijenta. Kao rezultat toga, Mobile i Remote Access (MRA) neće raditi, jer u većini slučajeva sertifikati nisu raspoređeni na Jabber klijentima. U scenariju između preduzeća, ako subjekt koji poziva nije u mogućnosti da pruži sertifikat, poziv se isključuje.

Preporučujemo da koristite vrednost koja nije 5061 za TLS sa međusobnom autentifikacijom, kao što je port 5062. Vebek Hibrid Services koristi isti SIP TLS zapis koji se koristi za B2B. U slučaju porta 5061, neke druge usluge koje ne mogu da pruže TLS klijentski sertifikat neće raditi.

Ako se postojeći zapis već koristi za komunikaciju između preduzeća, preporučujemo da navedete poddom en korporativnog domena kao SIP odredište u Control Hubu, a samim tim i javni DNS SRV zapis, na sledeći način:

 Service and protocol: _sips._tcp.mtls.example.com 
Priority: 1 
Weight: 10 
Port number: 5062 
Target: us-expe1.example.com 

Poslovno-poslovni, mobilni Remote Access i Vebek saobraćaj na istom paru brze ceste

Poslovno-poslovni (B2B) i mobilni i Remote Access (MRA) pozivi koriste port 5061 za SIP TLS, a Vebek saobraćaj koristi port 5062 za SIP TLS sa međusobnom autentifikacijom.

Provera vlasništva domena deo je verifikacije identiteta. Verifikacija domena je bezbednosna mera i provera identiteta koju Vebek oblak implementira kako bi dokazao da ste ono za koga kažete da jeste.

Provera identiteta vrši se u dve faze:

1. Provera vlasništva domena. Ovaj korak uključuje tri vrste domena i predstavlja jednokratnu proveru verifikacije:

   • Domen e-pošte

   • Ekpressvai-E DNS domen

   • URI domen direktorijuma

2. Ekpressvai-E DNS provera vlasništva imena. Ovaj korak se izvodi kroz implementaciju TLS-a sa međusobnom autentifikacijom i uključuje upotrebu javnih sertifikata i na oblaku i na brzoj cesti. Za razliku od provere identiteta domena, ovaj korak se izvodi tokom svakog poziva upućenog i primljenog iz oblaka.

Važnost provere vlasništva domena

Vebek oblak vrši proveru vlasništva domena radi sprovođenja bezbednosti. Krađa identiteta je jedna od mogućih pretnji ako se ova provera ne izvrši.

Sledeća priča detaljno opisuje šta bi se moglo dogoditi ako se ne izvrši provera vlasništva domena.

Kompanija sa DNS domenom postavljenim na „hacker.com“ kupuje Vebek Hibrid Services. Druga kompanija, sa sopstvenim domenom postavljenim na „example.com“, takođe koristi hibridne usluge. Jedan od generalnih menadžera kompanije Ekample.com zove se Jane Roe i ima direktorijum URI jane.roe@example.com.

Administrator kompanije Hacker.com postavlja jedan od svojih URI-ova direktorijuma na jane.roe@example.com, a adresu e-pošte na jane.roe@hacker.com. Ona to može učiniti jer oblak ne proverava SIP URI domen u ovom primeru.

Zatim se prijavljuje u aplikaciju Vebek sa jane.roe@hacker.com. Pošto je vlasnik domena, e-mail za verifikaciju se čita i odgovara, a ona se može prijaviti. Konačno, ona poziva kolegu, Johna Doea, pozivanjem john.doe@example.com iz svoje aplikacije Vebek. Džon sedi u svojoj kancelariji i vidi poziv na svom video uređaju koji dolazi sa jane.roe@example.com; to je URI direktorijuma povezan sa tim nalogom e-pošte.

„Ona je u inostranstvu“, misli on. „Možda će joj trebati nešto važno.“ On odgovara na telefon, a lažna Jane Roe traži važne dokumente. Objašnjava da joj je uređaj pokvaren, a pošto putuje, traži od njega da pošalje dokumente na njenu privatnu adresu e-pošte, jane.roe@hacker.com. Na ovaj način kompanija shvata tek nakon što se Jane Roe vrati u kancelariju da su važne informacije procurile izvan kompanije.

Kompanija Esample.com ima mnogo načina da se zaštiti od lažnih poziva koji dolaze sa Interneta, ali jedna od odgovornosti Vebek oblaka je da se osigura da identitet bilo koga ko zove sa Vebek-a ispravan i da nije falsifikovan.

Da bi proverio identitet, Vebek zahteva da kompanija dokaže da poseduje domene koji se koriste u hibridnom pozivanju. Ako se to ne dogodi, hibridne usluge neće raditi.

Da bi se osiguralo ovo vlasništvo, potrebna su dva koraka verifikacije domena:

1. Dokažite da kompanija poseduje domen e-pošte, Ekpressvai-E domen, URI domen Directory.

   • Svi ti domeni moraju biti rutirani i poznati javnim DNS serverima.

   • Da bi dokazao vlasništvo, DNS administrator mora da unese DNS tekst zapis (TKST). TKST zapis je vrsta zapisa resursa u DNS-u koji se koristi za pružanje mogućnosti povezivanja nekog proizvoljnog i neformatiranog teksta sa hostom ili drugim imenom.

   • DNS administrator mora da unese taj TKST zapis u zonu čije vlasništvo mora biti dokazano. Nakon tog koraka, Vebek oblak vrši upit TKST zapisa za taj domen.

   • Ako je TKST upit uspešan i rezultat se podudara sa tokenom koji je generisan iz Vebek oblaka, domen se verifikuje.

   • Kao primer, administrator mora dokazati da poseduje domen „example.com“, ako želi da Vebek Hibrid Services radi na njenom domenu.

   • Pre ko https://admin.webex.com započinje proces verifikacije stvaranjem TKST zapisa koji odgovara tokenu koji je Vebek oblak generisao:

     

   • DNS administrator zatim kreira TKST zapis za ovaj domen sa vrednošću postavljenom na 123456789abcdef123456789abcdef 123456789abcdef123456789abcdef, kao u sledećem primeru:

     

   • U ovom trenutku, oblak može da proveri da li se TKST zapis za domen example.com podudara sa tokenom.

   • Oblak vrši TKST DNS pretraživanje:

     

   • Pošto vrednost TKST odgovara vrednosti tokena, ovo podudaranje dokazuje da je administrator dodao TKST zapis za svoj domen u javni DNS i da je vlasnik domena.

2. Ekpressvai-E DNS Provera vlasništva imena.

   • Oblak mora da proveri da li Ekpressvai-E ima potvrđeni identitet jednog od organa za sertifikate kojima oblak veruje. Administrator Ekpressvai-E mora zatražiti javni sertifikat za svoj Ekpressvai-E jednom od tih organa za sertifikaciju. Da bi izdao sertifikat, organ za sertifikat vrši postupak verifikacije identiteta, na osnovu provere validacije domena (za sertifikate potvrđene domena) ili provere validacije organizacije (za sertifikate potvrđene organizacije).

   • Pozivi u oblak i iz njega zavise od sertifikata koji je izdat Ekpressvai-E. Ako sertifikat nije važeći, poziv se odustaje.

Vebek konektor uređaja mora da komunicira sa Vebek-om da bi hibridno pozivanje funkcionisalo.

Vebek Device Connector je raspoređen u internoj mreži, a način na koji komunicira sa oblakom je putem odlazne HTTPS veze - iste vrste koja se koristi za bilo koji pregledač koji se povezuje na veb server.

Komunikacija sa Vebek oblakom koristi TLS. Vebek Device Connector je TLS klijent, a Vebek oblak je TLS server. Kao takav, Vebek Device Connector proverava sertifikat servera.

Organ za sertifikat potpisuje sertifikat servera koristeći sopstveni privatni ključ. Svako ko ima javni ključ može dekodirati taj potpis i dokazati da je isti organ sertifikata potpisao taj sertifikat.

Ako Vebek Device Connector mora da potvrdi sertifikat koji je obezbedio oblak, mora da koristi javni ključ organa sertifikata koji je potpisao taj sertifikat za dekodiranje potpisa. Jav ni ključ je sadržan u sertifikatu organa za sertifikaciju. Da biste uspostavili poverenje sa organima za sertifikate koje koristi oblak, lista sertifikata ovih autoriteta za pouzdane sertifikate mora biti u prodavnici poverenja Vebek Device Connector.

Kada komunicirate sa uređajima, alat koristi pouzdane sertifikate koje pružate. Trenutno je način da se to uradi postavljanjem [home folder]/.devicestool/certs.

Spisak sertifikata ovlašćenja sertifikata je takođe potreban za Ekpressvai-E u prelaz nom paru. Ekpressvai-E komunicira sa Vebek oblakom koristeći SIP sa TLS-om, sproveden međusobnom autentifikacijom. Ekpressvai-E veruje pozivima koji dolaze iz oblaka i idu u njega, samo ako CN ili SAN sertifikata koji je oblak predstavio tokom podešavanja TLS veze odgovara nazivu subjekta konfigurisanom za DNS zonu na Ekpressvai-u („callservice.vebek.com“). Organ za sertifikat izdaje sertifikat tek nakon provere identiteta. Vlasništvo domena callservice.vebek.com mora biti dokazano da bi se potvrdio potpis sertifikata. Budući da mi (Cisco) posedujemo taj domen, DNS naziv „callservice.vebek.com“ je direktan dokaz da je udaljeni vršnjak zaista Vebek.

konektor kalendara integriše Vebek sa Microsoft Exchange 2013, 2016, 2019 ili Office 365 putem naloga za lažno predstavljanje. Uloga upravljanja lažnim predstavljanjem aplikacija u programu Exchange omogućava aplikacijama da se predstavljaju kao korisnike u organizaciji kako bi izvršavali zadatke u ime korisnika. Uloga predstavljanja aplikacije mora biti konfigurisana u Ekchangeu i koristi se u konektoru kalendara kao deo Exchange konfiguracije na Ekpressvai-C interfejsu.

Nalog za lažno predstavljanje Exchange je Microsoftov preporučeni metod za ovaj zadatak. Administratori Ekpressvai-C ne moraju da znaju lozinku, jer vrednost može da unese u Ekpressvai-C interfejs od strane Exchange administratora. Lozinka nije jasno prikazana, čak i ako Ekpressvai-C administrator ima root pristup polju Ekpressvai-C. Lozinka se čuva šifrovana koristeći isti mehanizam šifrovanja akreditiva kao i druge lozinke na Ekpressvai-C.

Za dodatnu sigurnost sledite korake u V odiču za implementaciju usluge Cisco Webex hibridnog kalend ara da biste omogućili TLS kako biste osigurali EVS veze na žici.

Za dodatnu sigurnost sledite korake u odeljku Primeni konektor kalendara brze ceste Microsoft Exchange da biste omogućili TLS kako biste osigurali EVS veze na žici.