感谢您的反馈。

所有云注册的 Webex 应用程序和 Cisco 视频设备仅发起出站连接。Cisco 的 Webex Cloud 从不发起与云注册的 Webex 应用程序和 Cisco 视频设备的出站连接，但可以向 SIP 设备发出出站呼叫。

Webex 会议和消息传递服务托管在全球分布式数据中心，这些数据中心要么由思科拥有（例如，用于身份服务、会议服务和媒体服务器的 Webex 数据中心），要么托管在亚马逊 AWS 平台上的思科虚拟私有云 (VPC) 中（例如，Webex 消息传递微服务、消息传递存储服务）。Webex 服务还驻留在 Microsoft Azure 数据中心，以便与 Microsoft Teams (VIMT) 进行视频互操作。

流量的类型：

Webex 应用程序和 Cisco 视频设备与 Webex 云建立信令和媒体连接。

信令流量
Webex 应用程序和 Cisco 视频设备使用 HTTP 作为 TLS 上的 HTTP (HTTPS) 和 TLS 上的安全 Web 套接字 (WSS)，以便基于 REST 向 Webex 云发送信令。信令连接仅为出站连接，并使用 URL 与 Webex 服务建立会话。

与 Webex 服务的 TLS 信令连接使用 TLS 版本 1.2 或 1.3。密码选择基于 Webex 服务器 TLS 首选项。

无论是使用 TLS 1.2 还是 1.3，Webex 都优先使用以下密码套件：

• ECDHE 用于密钥协商
• 基于 RSA 的证书（3072 位密钥大小）
• SHA2 身份验证（SHA384 或 SHA256）
• 使用 128 或 256 位的强加密密码（例如，AES_256_GCM）

Webex 按以下优先顺序支持 TLS 版本 1.2 的密码套件 connections*:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_[] ECDHE _RSA_WITH_AES_256_CBC_SHA384
TLS [] ECDHE__RSA_WITH_AES_128_CBC_SHA256

注意 - 对于没有更安全的 GCM 模式加密的旧版浏览器，CBC 模式加密受支持。

Webex 按以下优先顺序支持 TLS 版本 1.3 的密码套件 connections*:

TLS_AES_256_GCM_SHA384
TLS_CHACHA_POLY1305_SHA256
TLS_AES_128_GCM_SHA256

注意 - 对于 TLS 1.3，ECDHE 密钥协商和基于 RSA 的证书是规范的强制性部分，因此在密码套件描述中省略了这些细节。

*The 某些 Webex 服务的密码套件和密码套件优先顺序可能会有所不同

使用 URL 建立与 Webex 服务的信令连接
如果您已部署代理或防火墙来过滤离开企业网络的流量，则可以在“Webex 服务需要访问的域和 URL”部分中找到需要允许访问 Webex 服务的目标 URL 列表。

Webex 强烈建议您不要更改或删除 HTTP 标头值，因为它们会通过您的代理/防火墙，除非这些准则允许 https://www.w3.org/TR/ct-guidelines/#sec-altering-header-values。在这些准则之外修改或删除 HTTP 标头可能会影响对 Webex 服务的访问，包括 Webex 应用程序和 Cisco 视频设备无法访问 Webex 服务。

不支持按 IP 地址过滤 Webex 信令流量，因为 Webex 使用的 IP 地址是动态的，随时可能更改。

媒体流量
Webex 应用程序和 Cisco 视频设备使用以下加密密码对音频、视频和内容共享流的实时媒体进行加密：

• AES-256-GCM 密码
• AES-CM-128-HMAC-SHA1-80 密码

AES-256-GCM 是 Webex 应用程序和 Cisco 视频设备用于加密实时媒体的首选加密密码。

AES-CM-128-HMAC-SHA1 是一种成熟的密码，已经证明了供应商之间的互操作性。AES-CM-128-HMAC-SHA1 通常用于通过带有 SIP 信令的 SRTP 从端点加密到 Webex 服务的媒体（例如 Cisco 和第三方 SIP 设备）。

按照优先顺序，Webex 应用程序和 Cisco 视频设备支持 UDP、TCP 和 TLS 作为媒体传输协议。如果防火墙阻止了 UDP 端口，Webex 应用程序和 Cisco 视频设备将回退到 TCP。如果 TCP 端口被阻止，Webex 应用程序和 Cisco 视频设备将回退到 TLS。

UDP – Cisco 推荐的媒体传输协议
符合 RFC 3550 RTP – 实时应用的传输协议，Cisco 更喜欢并强烈推荐 UDP 作为所有 Webex 语音和视频媒体流的传输协议。

使用 TCP 作为媒体传输协议的缺点
Webex 应用程序和 Cisco 视频设备也支持 TCP 作为后备媒体传输协议。但是，Cisco 不建议将 TCP 作为语音和视频媒体流的传输协议。这是因为 TCP 是面向连接的，旨在可靠地将排序正确的数据传递给上层协议。在使用 TCP 时，发送方将重新传输丢失的数据包，直到它们被确认，而接收方会缓冲数据包流，直到丢失的数据包被恢复。对于媒体流而言，这种行为表现为延迟/抖动增加，而这又会影响通话参加者所体验的媒体质量。

使用 TLS 作为媒体传输协议的缺点
由于潜在的代理服务器瓶颈，加密的 TCP 连接（TLS）可能会进一步降低媒体质量。如果 Webex 应用程序和 Cisco 视频设备使用 TLS 作为媒体传输协议并配置了代理服务器，则此媒体流量将通过代理服务器路由，这可能会造成带宽瓶颈并导致数据包丢失。思科强烈建议不要在生产环境中使用 TLS 传输媒体。

Webex 媒体使用出站至 Webex 云的对称的内部发起 5 元组（源 IP 地址、目标 IP 地址、源端口、目标端口、协议）流来双向流动。

Webex 应用程序和 Cisco 视频设备也使用 STUN (RFC 5389) 进行防火墙穿越和媒体节点可达性测试。有关更多详细信息，请参阅 Webex 防火墙技术文件。

Webex – 媒体的目标 IP 地址范围
要访问处理离开企业网络的媒体流量的 Webex 媒体服务器，您必须允许通过企业防火墙访问托管这些媒体服务的 IP 子网。您可以在 Webex 媒体服务的 IP 子网部分查看发送到 Webex 媒体节点的媒体流量目标 IP 地址范围。